プログラミング言語別の脆弱性情報まとめ

01プログラミング言語別の脆弱性の傾向

公表・更新された脆弱性は、Python（233件）とJavaScript / TypeScript（126件）が多く、Go・Java / JVM・.NETが続きます。件数は使われているパッケージの数や情報源の告知の多さにも左右されるため、言語そのものの安全性を比べる数字ではありません。自社で使う言語と、件数の多いパッケージを確認してください。

02脆弱性の種類別の件数

題名と要約に含まれる語から、538件を脆弱性の種類に振り分けました。コード実行や認証の回避は、悪用されたときの影響が大きいため、深刻度と合わせて優先して確認します。

03CVE・GHSA・CVSSなど脆弱性情報の見方

脆弱性の情報は、識別番号・深刻度・影響範囲・修正版の4つを押さえると読めます。

CVE

脆弱性ごとに振られる共通の識別番号（例：CVE-2026-111497）。同じ脆弱性を、情報源が違っても同じ番号で探せます。

GHSA

GitHub Advisory Databaseの識別番号。CVEが付く前の情報や、CVEのない情報もあります。

CVSS・深刻度

脆弱性の深刻さを0〜10点で表す共通の評価基準です。多くの情報源は点数から「緊急・高・中・低」に区分します。点数だけでなく、自社で該当する機能を使っているかで優先度を決めます。

KEV

米国のCISAが公開している、実際に悪用が確認された脆弱性の一覧です。このまとめでは「悪用確認」の印を付けています（6件）。載っているものは優先して対応します。

影響範囲・修正版

「>= 1.0.3, < 1.2.1」は、1.0.3以上1.2.1未満が対象という意味です。修正版は、問題が直ったバージョンです。

エコシステム

npm（JavaScript）、pip（Python）、composer（PHP）、Maven（Java）、Go modules、crates.io（Rust）、NuGet（.NET）、RubyGemsなど、パッケージを配布する仕組みです。

04ライブラリ・フレームワークの脆弱性対策7項目

1. 使っているパッケージの一覧を持つ：本番で動いている言語・フレームワーク・ライブラリとバージョンを、サービスごとに一覧にします（SBOM）。
2. 間接的な依存まで確認する：lockファイル（composer.lock、package-lock.json、poetry.lock、go.sumなど）で、直接入れていないライブラリも確認します。
3. 更新の知らせを受け取る：依存関係の更新を知らせる仕組みを有効にし、担当者と対応の期限を決めます。
4. 公開している部分から優先する：インターネットから届く部分と、深刻度が緊急・高のものを先に対応します。
5. 開発用のサーバーを公開しない：開発サーバーやデバッグ機能を外部から届く状態にしないことも対策です（例：Viteの開発サーバーの脆弱性）。
6. すぐに直せないときの回避策を持つ：修正版がない、更新に時間がかかる場合は、一次情報の回避策（設定の変更・機能の停止）を確認します。
7. 反映を確かめる：更新した記録だけでなく、コンテナやサーバーごとに、実際に動いているバージョンを確認します。