CodeScoring調査、OSSの重大脆弱性が2026年に4.9倍へ

Goでは78件から396件へ5.1倍に増加した。影響を受ける安定版モジュールは5,995から12,443で、2.1倍だった。

認証不要のネットワーク攻撃が多数

2026年の重大な脆弱性の3分の2以上は、CVSSの評価で、事前の権限やユーザー操作なしにネットワーク経由で攻撃できるとされている。従業員の認証情報を盗んだり、不正なファイルを開かせたりする必要がなく、ネットワークから到達できるソフトウェア自体が直接狙われる。2026年9月15日から10月15日の1か月だけでも、あらゆる深刻度のOSSコンポーネントで4,609件の新たな固有の脆弱性が公開された。

同社は増加の主因を、欠陥の探索が活発になったことと報告の拡大とみる。研究者が自動解析やAIツールを活用し、開発者が見つかった欠陥を体系的に公開するケースも増えている。最新の監査手法は古いコードの不具合も見つけられるため、何年も前に導入して更新していないライブラリに関する情報が出ることもある。

プロダクトアナリストのアルチョム・マクシモフ氏は、組織は自社ソフトの構成を定期的に点検し、完成品だけでなく使用コンポーネント単位で既知の脅威を追うべきだと述べた。稼働中の外部向けサービスに影響する問題を最優先で解消するよう求めている。そのための手段としてソフトウェア構成分析（SCA）を挙げ、アプリの構成を自動で追跡し、脆弱な依存関係と修正済みバージョンを特定できるとしている。