脆弱性は、静かな場所で育っていく
事故は、派手な悪意から始まるとは限らない。
むしろ多くは、急いだ判断や、誰かが見ているはずだという甘さのほうから静かに広がっていく。
セキュリティの話が怖いのは、攻撃者の技術より、こちら側の日常の癖が映ってしまうからかもしれない。
順位表より、並び方が気になる
2025年11月、約4年ぶりにOWASP Top 10 2025のリリース候補版が公開された。Webアプリケーションの脆弱性をどう捉え、何を優先して対策するかを考えるうえで、世界中の開発者やセキュリティ実務者が参照する一覧である。
ただ私は、この種の資料を見るとき、1位が何かよりも、なぜその並びになったのかのほうに目が行く。危険の名前そのものより、時代がどこでつまずき始めているのかが、そこに出るからだ。
今回のOWASP Top 10 2025で印象的なのは、脆弱性の「症状」を並べるというより、その奥にある「根本原因」へ視線を移したことだった。見えている傷口ではなく、なぜそこに傷ができたのかを見ようとしている。その視線の変化自体が、いまの現場の難しさを物語っている。
見えてはいけないものは、たいてい近くにある
2021年版でも中心にあったアクセス制御の不備は、2025年版でもやはり重い位置に置かれている。以前は独立して語られていたSSRFまでこのカテゴリに統合され、単発の攻撃手法というより、設計の甘さそのものが問われている印象が強くなった。
アクセス制御の不備は、特別な攻撃者だけが起こす話ではない。権限の境界を少し甘く考えただけで、本来見えないはずの情報が見え、触れないはずの機能に手が届く。現場では、その「少し」がいちばん危ない。
私はSEとして長く現場を見てきたが、大きな事故の前には、たいてい小さな曖昧さが積もっている。誰がどこまで想定していたのかがぼやけたまま実装が進み、あとから脆弱性という言葉で回収される。コードの問題に見えて、実は仕事の線引きの問題だったりする。
設定は、技術より先に空気に支配される
今回、セキュリティ設定ミスが大きく浮上したのは、いかにも今らしい動きだと思った。クラウドやコンテナが広がり、便利さと引き換えに、触るべき設定と見落とし得る境界が一気に増えたからだ。
設定ミスは、コードのバグのように目立たない。動いているうちは問題が見えず、レビューでも流されやすい。しかも設定の責任は、開発、運用、インフラ、外部ベンダーの間で少しずつ曖昧になりやすい。だから、誰も油断したつもりがないまま、穴だけが残る。
昔、ある案件で、機能はほぼ予定どおりに仕上がっていた。テストも正常系は通っていて、会議室には少し安堵した空気が流れていた。けれど本番公開前の確認で、権限まわりの設定が想定より広く開いていることに気づいた。直せば済む話ではあったが、その場にいた誰も、最初からそこを一番に見ようとはしていなかった。急いでいたわけでも、手を抜いたわけでもない。ただ、皆が「大丈夫なはずだ」と思う順番が同じだっただけだった。
経営でも似たような場面を何度も見てきた。事業を前に進めたいとき、人は悪気なく「今はそこではない」と判断する。その判断自体は合理的でも、積み重なると、あとで高くつく。設定ミスが怖いのは、技術の未熟さというより、優先順位の空気をそのまま映してしまうところにある。
もう、自分のコードだけでは暮らしていない
今回の新設カテゴリで目を引いたのが、ソフトウェアサプライチェーンの不具合だった。2021年版の「脆弱で古くなったコンポーネント」を、もっと広く、もっと今の現実に近い形へ拡張したものと言っていい。
いまの開発は、自分たちが書いたコードだけで閉じていない。依存ライブラリ、CI/CD、ビルド環境、配布基盤まで含めて、何を信頼して成り立っているのかを考えなければならない。便利さが増えるほど、見えていない前提も増えていく。
ここ数年、私は生成AIを実務でかなり使ってきた。確かに速いし、発想の起点にもなる。たたき台を作る速度は、昔とは比べものにならない。ただ、速くなったぶんだけ、人が疑うべき場所を通り過ぎやすくなった感覚もある。
AIが危ないのではない。便利なものに囲まれたとき、人間の側がどこで立ち止まるのか。その設計が曖昧なままだと、効率はそのまま脆さにもなる。サプライチェーンの問題が前景に出てきたのは、危険がコードの中だけで完結しないと、皆がようやく認め始めたからだと思う。
壊れたときに、その人の設計が見える
もうひとつ印象に残ったのが、「例外的な状況の誤処理」が独立したカテゴリとして現れたことだった。正常に動くときの美しさではなく、壊れたときに何が起きるかが、ひとつの脅威として切り出されたのである。
エラー処理は、目立たない。動いている間は評価されにくく、開発の後ろへ追いやられやすい。だが、そこには設計した人の思想がよく出る。うまくいく場面しか見ていないのか、それとも壊れ方まで想像しているのか。その差は、案外はっきり現れる。
昔から、正常系を気持ちよく作る人と、異常時まで責任を持てるものを作る人は、似ているようで少し違うと感じてきた。前者は華やかに見えやすい。後者は地味だが、現場では長く信頼される。年齢を重ねるほど、その違いは技術力より姿勢の差に見えてくる。
脅威地図は、静かに塗り替わった
今回のOWASP Top 10 2025では、危険の輪郭が少し変わった。アクセス制御の不備や設定ミスだけではなく、サプライチェーンや例外処理まで前景に出てきたことで、壊れ方はコードの外にも広がっていると分かる。
守るという言葉の中身も、少し変わったのかもしれない。書く技術だけではなく、疑う姿勢や、止まる感覚や、引き受ける線の引き方まで含めて問われている。だからこの一覧は、脆弱性のリストである前に、いまの仕事の癖を映す地図にも見える。
少し止まると、守るものの順番が変わる
少し止まる。
脆弱性は、攻撃者だけが作るものではない。急ぎたい気持ち、任せたい気持ち、誰かが確認しているはずだという気持ちの中でも育っていく。だからこの一覧は、外の敵を知るためだけのものではなく、内側の雑さを映す鏡にも見える。
AIが広がり、コードを書く速度が上がり、開発の景色は確かに変わった。だが最後に残るのは、何を疑い、どこで止まり、誰が引き受けるのかという、昔からあまり変わらない問いなのだと思う。
本当に守れていないのは、システムだろうか。
それとも、壊れ方を想像する時間のほうだろうか。
