OS だけではない：ミドルウェア、ライブラリ、アプリケーションに潜む EOL 問題の現実

～ 脆弱性公開から悪用まで数時間に ...AI 時代の脅威に備え、自社の安全を守る最善策～

前回までの記事では、「2025 年の崖」の現状と Linux OS の EOL（サポート終了）問題を取り上げました。しかし、OS を最新化すれば安全というわけではありません。その上で動くミドルウェア、ライブラリ、アプリケーションにも、同じ問題が潜んでいます。しかも、発見、公表される脆弱性の件数で言えば OS 層よりも深刻です。

アプリケーション層の脆弱性件数は OS 層を大きく上回っている

IPA が運営する脆弱性対策情報データベース「JVN iPedia」のデータ（『脆弱性対策情報データベース JVN iPedia の登録状況 [2026 年第 1 四半期（1 月〜3 月）]』）を見ると、ソフトウェア種別で見たとき、OS カテゴリ全体よりもアプリケーションカテゴリの脆弱性件数が一貫して多いことがわかります。2025 年に登録された脆弱性対策情報のうち、アプリケーションに関するものは全体の約 70% を占めており、2026 年第 1 四半期（1 月〜3 月）でも 71.9%（8,347 件／全 11,605 件）に上っています。

出典：「脆弱性対策情報データベース JVN iPedia の登録状況 [2026 年第 1 四半期（1 月〜3 月）」
（独立行政法人情報処理推進機構、2026 年 4 月 15 日）

「JVN iPedia」では、IPA が発信する「重要なセキュリティ情報」に加え、日本で広く利用されており、脆弱性が悪用されると影響が大きいサーバー用 OSS 7 種（Apache HTTP Server、Apache Struts、Apache Tomcat、BIND、OpenSSL、Joomla!、WordPress）のリリース情報を「MyJVN 注意警戒 API」で提供しています。この API を利用した情報は、「注意警戒情報サービス」で公開されています。OS だけでなく、その上で動くソフトウェアについても常時情報収集と対策をしていく必要があります。

公開から 30 時間で悪用ーー AI 時代はさらに早くなる

ミドルウェア層の EOL 問題を示す具体的な事例として、2025 年に発生した Apache Tomcat の脆弱性（CVE-2025-24813）があります。

2025 年 3 月 10 日、Apache Tomcat におけるファイル処理の不具合により、外部の攻撃者が管理者権限なしで不正なプログラムを遠隔実行できてしまう深刻な脆弱性が報告されました。情報セキュリティインシデントへの対応支援を行う JPCERT コーディネーションセンターと IPA が共同運営する脆弱性情報ポータル「JVN」でも取り上げられています（JVNVU#93567491 Apache Tomcat の Partial PUT 処理の実装における不具合）。

この脆弱性が公開されてからわずか 30 時間で悪用が確認され、2025 年 4 月 1 日には米国国土安全保障省のサイバー・インフラ安全保障庁（CISA）が「既知の悪用された脆弱性カタログ（KEV）」に本件を追加しました（参考：Known Exploited Vulnerabilities Catalog - CISA）。これにより、米国連邦機関に対して 4 月 22 日までの対処が義務化されました。

しかし、この 30 時間という数字でさえ、今後は過去の話になりつつあります。IPA の『情報セキュリティ 10 大脅威 2026 解説書［組織編］』（2026 年 3 月）では、2025 年 12 月 3 日に公表された React Server Components の脆弱性（CVE-2025-55182、深刻度：「緊急」、CVSS 基本値 10.0）について、公表の翌日には PoC が公開され、脆弱性を悪用した攻撃が国内外で多数確認されたことを取り上げています。また、前回記事で引用した英国 NCSC の報告書（2026 年 3 月）『Impact of AI on cyber threat from now to 2027』は、「脆弱性の開示から悪用までの時間がすでに数日まで短縮しているが、AI によってさらに短縮されることがほぼ確実」と警告しており、日本の関係省庁による注意喚起『AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について（重要インフラ事業者等に対する注意喚起）』でも、「高性能 AI が攻撃者に使用されることにより、脆弱性の発見から悪用までの時間が極めて短くなる」と明記されています。

こうした状況を踏まえ、CISA は 2026 年 6 月、脆弱性をその内容の公開有無や攻撃の自動化可否、悪用時の影響範囲などの明確な判断軸によって評価し、具体的な対応期限を定める新たな指令「BOD 26-04: Prioritizing Security Updates Based on Risk」を発令しました。その背景として CISA は、「攻撃者は未修正の脆弱性を悪用しており、彼らが AI を利用することで、パッチが公開されてから悪用が発生し得るまでの間に、防御側が対応できる時間がさらに短縮される恐れがある」と述べています。

ここで見過ごせないのが、EOL との直接的な関係です。Apache Tomcat 8.5 系は 2024 年 3 月 31 日に EOL を迎えており、Apache プロジェクトチームはこのバージョンへのセキュリティ脆弱性対応を行わないと表明しています。つまり、CVE-2025-24813 のパッチは Tomcat 8.5 系には提供されません。EOL 環境を利用し続けている限り、対応する手段そのものが存在しないのです。

OSS ガバナンスが不十分な実態ーーライブラリにも見えないリスク

ミドルウェア層にとどまらず、その基盤となるライブラリにも同様のリスクが潜んでいます。現在のソフトウェア開発では、一つのシステムが数多くのライブラリに依存しているのが当たり前です。そのライブラリが EOL を迎えていたり、脆弱性を抱えていたりした場合、影響はシステム全体に連鎖します。

この問題をさらに深刻にしているのが、日本企業の OSS ガバナンスの現状です。IPA が 2024 年に公開した『2024 年度オープンソース推進レポート：日本におけるオープンソース戦略形成に向けた現状と展望』では、OSS ガバナンスの実態について以下のことが指摘されています。

• OSS ポリシーの制定状況：OSS 利用に関するポリシーが「存在しない」「わからない」が合わせて 8 割以上
• OSPO（オープンソース・プログラム・オフィス）の設置状況：「特に対応していない」「わからない」が合わせて約 9 割
• OSS 利用時の課題（上位）：「メンテナンスや運用に不安がある」「社内にルールやポリシーが存在しない」「商用サポートがない」

つまり、多くの企業では OSS を使っているが、OSS 利用に関するポリシーは存在せず、メンテナンスや運用に不安がある状態であるということです。EOL を迎えたライブラリが含まれていても気付けない可能性も否定できないでしょう。

終わりに

AI の台頭によって脆弱性の公表から悪用までのタイムリミットが劇的に短縮され、ミドルウェアやライブラリの脆弱性対策は一刻の猶予も許されない状況にあります。

まずは、自社のシステムが依存しているソフトウェアの構成を正確に把握し、適切な管理ポリシーを策定することが、企業の安全を守るための第一歩と言えるでしょう。

今ある環境をいかに安全に守り抜くかは、IT 部門の意思決定と戦略次第でコントロール可能です。EOL 問題にお悩みの方は、OSS の延長サポートを提供する「TuxCare ELS」の活用をぜひご検討ください。

参考文献

• 脆弱性対策情報データベース JVN iPedia の登録状況 [2026 年第 1 四半期（1 月〜3 月）]
• JVNVU#93567491 Apache Tomcat の Partial PUT 処理の実装における不具合
• Known Exploited Vulnerabilities Catalog
• 情報セキュリティ 10 大脅威 2026 解説書［組織編］
• Impact of AI on cyber threat from now to 2027
• AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について（重要インフラ事業者等に対する注意喚起）
• BOD 26-04: Prioritizing Security Updates Based on Risk
• 2024 年度オープンソース推進レポート：日本におけるオープンソース戦略形成に向けた現状と展望

関連する製品・サービス

• TuxCare ELS - OSS 延長サポート