ウェブサイトの脆弱性の届出は、累計で13,599件に達しています
IPAが公表する届出状況では、ウェブサイトに関する脆弱性の届出は累計13,599件です。届出全体20,315件のうち、約7割がウェブサイトに関するものです。出典: IPA『ソフトウェア等の脆弱性関連情報に関する届出状況 [2026年第2四半期 (4月～6月)]』(2026年)
累計20,315件のうちウェブサイトが13,599件
届出の累計は、対象によって次のように分かれます。
| 対象 | 累計の届出件数 |
|---|---|
| 合計 | 20,315件 |
| ウェブサイト | 13,599件 |
| ソフトウェア製品 | 6,716件 |
ウェブサイトの13,599件は、合計の約7割に当たります。脆弱性というとソフトウェア製品の話に聞こえますが、届出の数ではウェブサイトのほうが多い状態です。
届出の受付は2004年7月に始まっています
この累計の起点は、2004年7月の届出受付開始です。20年以上にわたって積み上がった件数であり、1年あたりの件数ではありません。
年数で割れば単純平均は出せますが、届出の制度や周知の状況は年によって違います。累計の件数は、制度が長く運用されてきた結果として読むのが適切です。
図表1: 届出累計の内訳
届出の累計20,315件を、ウェブサイト13,599件とソフトウェア製品6,716件の2つに分けた円グラフです。ウェブサイトの区分に約67%、ソフトウェア製品の区分に約33%の面積を割り当て、中央に累計20,315件と届出受付開始が2004年7月である旨を添えます。
この図から読めるのは、届出の制度がウェブサイトについて多く使われてきたという事実です。ウェブサイトは公開されていて誰でも見られるため、第三者が気づいて届け出やすいという性質も関係していると考えられます。ただし、この統計そのものから理由は読み取れません。
出典: IPA『ソフトウェア等の脆弱性関連情報に関する届出状況 [2026年第2四半期 (4月～6月)]』(2026年、https://www.ipa.go.jp/security/reports/vuln/software/2026q2.html)
この件数はどの統計の、何を数えたものか
引用した件数は、IPAが四半期ごとに公表している「ソフトウェア等の脆弱性関連情報に関する届出状況」の2026年第2四半期版の数値です。届出として受け付けた件数を数えたものです。
統計の名称と公表の周期
この統計は四半期ごとに公表され、それぞれの期の届出件数と、受付開始からの累計が示されます。本記事が参照したのは2026年第2四半期 (4月から6月) の版です。
出典: IPA『ソフトウェア等の脆弱性関連情報に関する届出状況 [2026年第2四半期 (4月～6月)]』(2026年)
届出として受け付けた件数であり、脆弱性の総数ではない点
ここで注意が必要です。13,599件は、IPAの窓口に届出があった件数です。
- 誰にも気づかれていない脆弱性は含まれません
- 発見者がサイトの運営者へ直接連絡した場合も含まれません
- 同じサイトについて複数の届出があれば、複数件として数えられる可能性があります
したがって、この数字を「国内のウェブサイトで実際に起きている脆弱性の総数」として読むことはできません。届出という行為が20年以上でどれだけ積み上がったかを示す指標です。
公表ページ内で13,559件と13,599件の記載が食い違う点
この統計を引用するときに気をつける点があります。IPAの公表ページでは、ウェブサイトの累計について本文に13,559件、表1-1に13,599件という2つの記載があり、食い違っています。
| 記載の場所 | ウェブサイトの累計 |
|---|---|
| 表1-1 | 13,599件 |
| 本文 | 13,559件 |
本記事では13,599件を採りました。理由は、ソフトウェア製品の累計6,716件と足した合計が、公表されている累計20,315件と一致するためです。13,559件では合計が20,275件となり、累計と合いません。
この種の食い違いは、引用する側がどちらを採ったかを明示しておく必要があります。本記事では以降も13,599件を用います。
直近の四半期では、ウェブサイトの届出が65件ありました
2026年第2四半期の届出は合計247件でした。内訳はソフトウェア製品182件、ウェブサイト65件です。
四半期の内訳と前四半期との比較
前四半期との比較は次のとおりです。
| 対象 | 2026年第1四半期 | 2026年第2四半期 |
|---|---|---|
| 合計 | 209件 | 247件 |
| ソフトウェア製品 | 141件 | 182件 |
| ウェブサイト | 68件 | 65件 |
ウェブサイトは68件から65件へ微減しました。一方、ソフトウェア製品は141件から182件へ29.1%増えています。この四半期の増加は、主にソフトウェア製品によるものです。
出典: IPA『ソフトウェア等の脆弱性関連情報に関する届出状況 [2026年第2四半期 (4月～6月)]』(2026年)
届出の総数は前四半期の209件から約18.2%増
合計では209件から247件へ、約18.2%の増加です。ただし四半期ごとの増減は、届出が集中した製品の有無でも動きます。1期の増減から傾向を決めることはできません。
ウェブサイトについては、累計13,599件に対して1四半期が65件という水準です。この20年以上の積み上げに比べると、1期あたりの件数は小さく、急に増えているわけではないことが分かります。
1就業日あたり3.80件という水準
この統計では、1就業日あたりの届出件数も示されています。2026年第2四半期は3.80件でした。
これはソフトウェア製品とウェブサイトを合わせた数です。毎日のように届出が入る規模で制度が動いていると読めます。
図表2: 四半期ごとの届出件数の推移
横軸に2026年第1四半期と第2四半期を取り、ウェブサイトとソフトウェア製品を積み上げた棒グラフです。第1四半期は68件と141件で合計209件、第2四半期は65件と182件で合計247件になります。
積み上げにすると、合計の増加がどちらの区分によるものかが見えます。この2期ではソフトウェア製品の増加が合計を押し上げており、ウェブサイトはほぼ横ばいです。自社のサイトの話として読むときは、ウェブサイトの区分だけを見るほうが実態に近くなります。
出典: IPA『ソフトウェア等の脆弱性関連情報に関する届出状況 [2026年第2四半期 (4月～6月)]』(2026年、https://www.ipa.go.jp/security/reports/vuln/software/2026q2.html)
届出のうち修正が完了したのは、ウェブサイトで累計8,956件です
ウェブサイトの届出は累計13,599件に対し、修正完了は累計8,956件です。届出があったものがそのまま修正に至るとは限りません。
修正完了の累計と四半期の件数
修正完了の件数は、次のように公表されています。
| 区分 | 2026年第2四半期 | 累計 |
|---|---|---|
| 合計 | 72件 | 12,192件 |
| ソフトウェア製品 | 54件 | 3,236件 |
| ウェブサイト | 18件 | 8,956件 |
累計で見ると、修正完了12,192件のうちウェブサイトが8,956件です。届出と同じく、修正完了でもウェブサイトが多くを占めます。
出典: IPA『ソフトウェア等の脆弱性関連情報に関する届出状況 [2026年第2四半期 (4月～6月)]』(2026年)
届出件数と修正完了件数の差が意味すること
ウェブサイトの届出累計13,599件と修正完了累計8,956件の差は、4,643件です。
この差をどう読むかには注意が必要です。公表されているのは件数だけで、差の内訳は示されていません。考えられる事情は複数あります。
- 届出を受けてから修正までに時間がかかっているもの
- 連絡がつかない、またはサイトが閉じられたもの
- 脆弱性に当たらないと判断されたもの
したがって「4,643件が放置されている」と断定することはできません。ただし、届出があれば必ず直るという前提も置けません。自社のサイトについては、誰がどのように気づき、誰が直すのかを決めておく必要があります。分担の決め方は後述します。
図表3: 届出累計と修正完了累計の対比
ウェブサイトについて、届出累計13,599件と修正完了累計8,956件を2本の横棒で並べたグラフです。2本の長さの差 (4,643件) に注記を添え、その内訳は公表されていない旨を明示します。
この図は、件数の多さではなく差に目を向けるためのものです。届出の制度は機能していますが、届出から修正までが自動的につながるわけではありません。
出典: IPA『ソフトウェア等の脆弱性関連情報に関する届出状況 [2026年第2四半期 (4月～6月)]』(2026年、https://www.ipa.go.jp/security/reports/vuln/software/2026q2.html)
この統計から読み取れないこと
この統計は届出の件数を示すものです。中小企業に限った被害件数や、対策をしている企業の割合は含まれていません。
中小企業に限定した内訳は公表されていない
届出状況のページには、届出の対象となったサイトの運営者の規模別の内訳がありません。したがって、中小企業のサイトで何件という数字はこの統計から出せません。
自社の規模に当てはめて読みたい場合は、別の調査を併せて見る必要があります。たとえば被害の実態については、警察庁やIPAが別に公表している統計があります。測っている対象が違うため、本記事の件数とは分けて扱ってください。
脆弱性の種類別の件数は今回参照したページでは確認できない
クロスサイトスクリプティングやSQLインジェクションといった種類別の件数も、今回参照した2026年第2四半期のページでは確認できませんでした。
種類別の傾向を知りたい場合は、IPAが別に公開している資料を確かめる必要があります。本記事では、確認できた件数の範囲にとどめます。
件数の多さを根拠に危険を煽るべきでない理由
累計13,599件という数字は大きく見えます。しかし、前のセクションで整理したとおり、これは20年以上の累計で、届出という行為の件数です。
この数字から言えることと言えないことを分けると、次のようになります。
| 言えること | 言えないこと |
|---|---|
| 届出の制度が20年以上使われ、ウェブサイトが約7割を占めてきた | 国内のウェブサイトで実際に起きている脆弱性の総数 |
| 直近の四半期でもウェブサイトの届出が65件ある | 自社のサイトが攻撃される確率 |
| 届出と修正完了の間に差がある | その差のうち何件が未修正なのか |
発注の判断に使えるのは、左の列までです。右の列を補うには別の資料が必要になります。対策をどこまで求めるかは、確率の推定ではなく、公開前に何をするか、公開後に誰が直すかという分担の話として決めるほうが実務に合います。その具体は次のセクションで扱います。