はてなまとめ - もう「CVSSで重大→修正急務」は限界　「即対応」脆弱性を9割減らすGitHub推奨の優先順位付け基準

1: mkusaka 2026/10/31 03:47

GitHubの2025年OSS脆弱性レポートを基に、CVSSとEPSSを併用する優先順位付けを解説し、重大判定392件をEPSSでは11件に絞れると示します。

2: circled 2026/10/31 11:36

別に限界ではない。システムの中身を自分で構築して把握してる限りにおいては、はいはい、、、程度でしかない。ベンダー丸投げとかしてたら、ベンダーの人員に限りがあるから、今の物量じゃ死ぬってだけ

3: momonga_dash 2026/10/31 11:47

こういうのありがたい

4: defiant 2026/10/31 11:59

この記事をおすすめしました

5: sirobu 2026/10/31 12:42

ほとんどの企業が外注してるんだから、中身を自分で押さえておけってのは無理でしょ

6: abcdefghijklmnopqrstuvwxy5 2026/10/31 12:48

鼻かゆい

7: sho 2026/10/31 13:17

最近はGitHub Advisoryすら遅すぎるという話をしてるんですがそれは……

8: trailhead_l 2026/10/31 14:54

クローズドなサーバーにAIから延々アタックさせ続けて脆弱性性見つけ続けるしか対策浮かばない。報告された脆弱性は毎回チェックしないといけないし、こういうの自体AIになんとかして欲しいとこではある。

9: suka6411144 2026/10/31 15:41

脆弱性が発表されて1時間以内に攻撃がくるくらいのレベルなので人間には対処は無理、止まるの覚悟で自動アップデートにしないと対処は不可能だと思う

10: strawberryhunter 2026/10/31 17:30

何の話をしているのかわからん。世の中ではパッチを深刻度などを参考に1個ずつ選別して丁寧に検証してから本番に適用しているのか？配信されてきたものを全適用すれば良くない？

11: mska 2026/10/31 18:24

いうて穴のパターンはある。闇雲に焦らぬ方が良い (PHPとnpmは移行しなさい)

12: pixmap 2026/10/31 18:45

企業がウェブサイトやシステムは簡単に安全に運用できると思い込んでるというのもある。セキュアでプライバシーにも配慮したウェブサイトを作って維持するのはかなり難易度高い。阿部寛を見習って欲しい。

13: remix-cafe 2026/10/31 20:22

防御より攻撃の方が有利な非対称な状態は前から言われているとおり。AIが使われたことで人力で対処するのはほぼ無理になった。脆弱性はアップデートすれば攻撃を防ぐことはできるが今まで通り動くは別問題。悩ましい

もう「CVSSで重大→修正急務」は限界 「即対応」脆弱性を9割減らすGitHub推奨の優先順位付け基準