Googleの調査結果より：企業が直面するゼロデイ攻撃の脅威が深刻化
2026年3月23日、Mike Vizard
ゼロデイ攻撃が企業のセキュリティ脅威に及ぼす影響
重要ポイント：
- 企業に対するゼロデイ攻撃が深刻化しており、2025年には影響を受けたテクノロジーが実数と割合の両方で過去最高を記録しました。
- 企業を狙ったゼロデイ攻撃の半数がネットワークおよびセキュリティソフトウェアに集中しており、攻撃者の関心が重要なビジネスインフラへと移っている状況が浮き彫りになっています。
- 最も悪用された製品カテゴリはオペレーティングシステムであり、ゼロデイ攻撃全体の44%を占めました。一方、ブラウザは10%未満にとどまりました。
- 大規模な悪用も増加しており、国家が支援する攻撃者が攻撃コードの開発と配布に急速に熟達していることが示唆されます。
Google Threat Intelligence Group（GTIG）が、2025年に実際に悪用された90件のゼロデイ攻撃を分析した結果、より「うまみ」があると見られる企業に攻撃対象が集中していることが示唆されました。
企業テクノロジーに影響を与えた脆弱性は、実数（43件）と割合（48%）の両方で過去最高となり、2025年に悪用されたゼロデイ攻撃全体の約半数を占めました。そのうち約半数（21件）は、明確にネットワークおよびセキュリティソフトウェアを標的としたものです。
オペレーティングシステム（デスクトップとモバイルの両方）が2025年に最も悪用された製品カテゴリとなり、ゼロデイ攻撃全体の44%（39件）を占めたことも、同レポートは指摘しています。対照的に、ブラウザの悪用は10%未満にとどまりました。ただし、基盤となるオペレーティングシステムや使用されているハードウェアのコンポーネントを悪用するように特別に設計された、ブラウザサンドボックスの回避も複数発見されています。
さらに、脆弱性の大規模な悪用も増加しており、国家が支援する攻撃者が攻撃コードの開発、共有、配布にますます熟達していることが示唆されます。
進化する戦術と手法
GTIGは、今後もこうした攻撃において、企業アプリケーションの悪用が大きな割合を占め続けると予測しています。これは、導入されるアプリケーションの幅が広がり続け、サイバーセキュリティチームが防御すべき攻撃対象領域全体が拡大する一方、攻撃者が人工知能（AI）を活用して脆弱性を迅速に発見して悪用するようになってきているためです。
さらに、攻撃者の戦術や手法も進化していると考えられます。たとえば、BRICKSTORMマルウェアは中国系スパイ組織によるものと見られており、そのキャンペーンではソースコードや独自開発の文書といった知的財産が標的にされたことが報告されています。この知的財産は、ソフトウェアの脆弱性を発見し、下流の顧客を標的にするために悪用される可能性があります。
また、明るい兆しとしては、防御側がAIを活用することで、積極的に脆弱性を発見し、必要に応じてパッチを構築、テスト、展開できるようになるという指摘もあります。
一般的な攻撃ベクトル
最も一般的なゼロデイ攻撃は、まずリモートからのコード実行であり、続いて特権昇格を目的としたものです。コマンドインジェクションとデシリアライゼーション（構造化データをプログラムが使用可能なオブジェクトやデータ構造に復元すること）の手法は、どちらも企業にとって深刻な攻撃ベクトルとなっています。また、悪意のある攻撃者は引き続きメモリ破損に依存しており、脆弱性の35%を占めています。
その他の一般的な攻撃ベクトルとしては、認証・認可メカニズムの回避や、企業アプライアンスによく見られるロジックや設計上の欠陥を突く攻撃が挙げられています。
概して、GTIGのレポートは、こうした攻撃の多くを阻止するために、サイバーセキュリティチームに対し、固有のセグメンテーションと最小特権アクセス制御を可能にするファイアウォールを採用するよう助言しています。また、現時点で侵害は避けられないという前提に立って、検知のための可観測性と監視ツールへの投資も必要であると指摘しています。
サイバーセキュリティチームは、攻撃が発生した場合に影響を受ける可能性があるソフトウェアライブラリを容易に特定できるように、ソフトウェア部品表（SBOM）を管理する必要があります。かつて、米国の伝説的な銀行強盗であるウィリー・サットンが、「なぜ銀行を襲うのか」と問われた際に、「そこに金があるからだ」と答えたという逸話があります。同じ考え方が現代の企業環境にも当てはまり、攻撃者の関心は価値あるデータを持つ企業のIT環境へ向けられているのです。
原文はこちら：
Google report: More zero-day vulnerabilities impacting enterprises
Mar 23, 2026 Mike Vizard
https://blog.barracuda.com/2026/03/23/google-report-zero-day-vulnerabilities
