なぜアップデートを後回しにしてはいけないのか

「後で更新する」というボタンを押したことのある人は多いでしょう。しかし、そのわずかな先送りが、深刻な被害につながることがあります。

2017年のランサムウェア「WannaCry」は、Windowsの既知の脆弱性（MS17-010）を悪用して世界150か国・20万台以上のコンピュータに感染しました。Microsoftはこの脆弱性を修正するパッチを 2か月前にすでにリリース済み でした。つまり、感染した組織の多くは単純にアップデートを適用していなかったのです。

警告

WannaCryの被害総額は推定40億〜80億ドル。医療機関、銀行、電気通信会社など重要インフラが機能停止に追い込まれました。アップデートの適用だけで、この被害の大部分は防げた可能性があります。

脆弱性・CVE・パッチの関係

脆弱性（Vulnerability）とは

ソフトウェアやハードウェアに存在する 設計・実装上の欠陥 で、攻撃者が悪用できるものを「脆弱性」と呼びます。例えば：

  • バッファオーバーフロー：入力値の検証が不十分で、メモリを不正に書き換えられる
  • SQLインジェクション：入力のサニタイズ不足でDBを直接操作される
  • 認証バイパス：認証ロジックの欠陥で正規ユーザーを装える

CVE（共通脆弱性識別子）

発見された脆弱性には CVE-2024-XXXXX 形式の番号が割り当てられます。この番号を使うことで、世界中のセキュリティ研究者・企業・ツールが同じ脆弱性を一意に参照できます。

ポイント

CVSS（共通脆弱性評価システム） によって脆弱性の深刻度が 0.0〜10.0 のスコアで評価されます。9.0以上は「緊急（Critical）」として即時対応が求められます。

パッチ（修正プログラム）

脆弱性が発見されると、ソフトウェアベンダーは修正コードを含む パッチ をリリースします。パッチを適用することで、その脆弱性は塞がれます。

ゼロデイ攻撃（Zero-Day Attack）

ゼロデイとは、脆弱性が発見されてからパッチがリリースされるまでの 修正策がまだない期間 のことです。この期間に行われる攻撃を「ゼロデイ攻撃」と呼びます。

脆弱性の発見
    ↓
（攻撃者が悪用開始） ← ゼロデイ期間
    ↓
ベンダーが発見・修正
    ↓
パッチリリース
    ↓
（ユーザーがパッチを適用）← ここまでの間も危険
    ↓
完全な保護

ゼロデイ期間はほぼ防ぎようがありませんが、パッチリリース後は迅速に適用することで被害を最小化 できます。2022年のLog4Shell（CVE-2021-44228）では、パッチリリース後も数週間にわたり未適用サーバへの攻撃が続きました。

何をアップデートすべきか

優先度：高

ソフトウェア理由
OS（Windows / macOS / Linux）カーネルレベルの脆弱性は全てのアプリに影響する
Webブラウザ（Chrome / Firefox / Safari）最も外部に晒されるソフト。JavaScriptエンジンの脆弱性が悪用されやすい
ブラウザ拡張機能アップデート管理が見落とされがちで攻撃経路になる

優先度：中

ソフトウェア理由
オフィスツール（Office / LibreOffice）悪意あるドキュメントで脆弱性が悪用される
PDF ビューア埋め込みスクリプトによる攻撃手段に使われる
メールクライアントフィッシングとの組み合わせ攻撃に使われる

優先度：中〜低（見落としやすい）

ソフトウェア理由
スマートフォンのアプリバックグラウンドで動作しており、放置しがち
ルーター・NASのファームウェア長期間更新されないことが多く、深刻な脆弱性が放置される
IoT デバイス（スマートTV、防犯カメラ等）アップデート機構が貧弱な製品が多い
注意

ルーターのファームウェアは特に見落とされやすい盲点です。 家庭内のすべての通信を中継する機器なので、乗っ取られると壊滅的な被害をもたらします。管理画面にログインして定期的にファームウェアアップデートを確認してください。

自動更新を正しく設定する

Windows

Windows Update の状態を確認（PowerShell）

Get-WindowsUpdateLog

自動更新の設定確認

Get-ItemProperty -Path “HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update” -Name AUOptions

AUOptions = 4 → 自動ダウンロード＆インストール（推奨）

Windows 10/11 では「設定」→「Windows Update」→「詳細オプション」から「更新プログラムを受信したらすぐにダウンロードしてインストールする」を有効にします。

macOS

「システム設定」→「一般」→「ソフトウェアアップデート」→「自動的にアップデートを確認」をオンにします。「セキュリティ対応とシステムファイル」の自動インストールは必ず有効化してください。

Linux（Ubuntu 系）

unattended-upgrades のインストール（Debian/Ubuntu）

sudo apt install unattended-upgrades

設定を確認・編集

sudo dpkg-reconfigure unattended-upgrades

セキュリティアップデートのみ自動適用する設定（/etc/apt/apt.conf.d/50unattended-upgrades）

以下の行がコメントアウトされていないことを確認：

”{$distro_id}:{$distro_codename}-security”;

スマートフォン

  • iOS: 「設定」→「一般」→「ソフトウェア・アップデート」→「自動アップデート」をオン
  • Android: 「設定」→「システム」→「システムアップデート」から確認。Playストアの「アプリとデバイスの管理」でアプリの自動更新も有効化

アップデートへの抵抗感と向き合う

「アップデートすると動作が変わって困る」「再起動が面倒」という気持ちはよく分かります。しかし：

  1. 業務外の時間にスケジュール設定 — 深夜に自動再起動するよう設定すれば、業務への影響はほぼゼロ
  2. テスト後の適用 — 企業環境では一部端末でテスト後に展開する運用が標準
  3. バックアップを先に取る — アップデートによる問題に備えて、事前バックアップを習慣化する
ヒント

セキュリティアップデートと機能アップデートは分けて考えましょう。機能アップデートは慎重に検討するとして、セキュリティパッチはリリース後できるだけ早く（遅くとも2週間以内）適用 することが推奨されます。

企業・組織での管理

個人の端末管理だけでなく、組織全体でパッチ管理を行う場合は以下のツールが使われます：

  • WSUS（Windows Server Update Services）: Windows環境の集中管理
  • Microsoft Endpoint Configuration Manager（MECM/SCCM）: 大規模Windows環境向け
  • Ansible / Chef / Puppet: Linux/クロスプラットフォームの構成管理
  • Tenable Nessus / Qualys: 未適用パッチのスキャンと可視化
理解度チェック

2017年のWannaCryランサムウェア攻撃で悪用された脆弱性の修正パッチは、攻撃の何か月前にリリースされていましたか？

理解度チェック

ゼロデイ攻撃とは何を指しますか？