社外からの接続やテレワークを支えるVPN機器は、いまやランサムウェア攻撃の主要な侵入口になっています。自社で使っている機器に、すでに攻撃へ悪用されている脆弱性が残っていないか、不安を感じている情報システム担当の方も多いのではないでしょうか。
本記事では、Fortinet・Ivanti・Cisco・Palo Alto・Citrix・SonicWall・Check Pointといった主要VPN製品について、実際の攻撃で悪用が確認されている脆弱性を、CVE番号・脆弱性の種類・影響範囲・修正版とともに一覧で整理しました。
いずれも米国CISAの「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に登録されているもので、出所をたどって確認できます。
一覧で自社機器が該当するかを確かめる手順、見つかったときの対策の優先順位、自力で確認しきれないときに外部の脆弱性診断へ依頼する選択肢まで、順を追って解説します。自社のVPNが危険な状態にないかを点検し、次の一手を決めるための材料としてご活用ください。
目次
一括ダウンロードする
製品別・CVE別のVPN脆弱性一覧【2026年版】
まず、主要なVPN製品で実際の攻撃に悪用されている脆弱性を製品別に一覧で示します。ここに挙げたのはすべて、米国CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog、以下CISA KEV）」に登録している脆弱性です。
CISA KEVへの登録は、研究上の指摘にとどまらず、実際の攻撃で悪用されたことが確認された証拠にあたります。各表の「CISA KEV登録日」は、その脆弱性がCISA KEVに登録された日付で、悪用が確認された時期の目安になります。
各表の「ランサム悪用」は、CISA KEVがランサムウェア攻撃での悪用を確認している場合に「あり」、現時点でその確認がない場合に「未確定」としています。未確定は「悪用されていない」という意味ではなく、悪用自体は確認済みでランサムウェアとの関連が確定していない状態を指します。
CVE番号は、公的データベースであるNVD（NIST National Vulnerability Database）の詳細ページにリンクしています。自社で使っている製品名から、影響バージョンに自社の機器が当てはまるかを確認してください。
一覧に自社のバージョンが見当たらない場合でも、安全とは限りません。この一覧はCISA KEVに登録された主要な脆弱性を抜粋したもので、未掲載のバージョンや製品にリスクが無いことを保証するものではありません。
特にCisco ASA / FTDのように、影響を受けるバージョンと修正版がリリース系統ごとに細かく分かれる製品では、必ず各ベンダーのセキュリティアドバイザリで、自社の系統に対応する修正版を確認してください。
Fortinet（FortiOS / FortiGate / FortiProxy）
| CVE番号 | 脆弱性の種類 | 影響バージョン | 修正版 | CISA KEV登録日 | ランサム悪用 |
|---|---|---|---|---|---|
| CVE-2018-13379 | SSL-VPNのパストラバーサル（未認証で設定ファイル・認証情報を窃取） | FortiOS 5.4.6〜5.4.12 / 5.6.3〜5.6.7 / 6.0.0〜6.0.4（SSL-VPN有効時） | 5.4.13 / 5.6.8 / 6.0.5 / 6.2.0 以降 | 2021-11-03 | あり |
| CVE-2022-40684 | 認証バイパス（管理インターフェースの操作） | FortiOS 7.0.0〜7.0.6 / 7.2.0〜7.2.1、FortiProxy 7.0.0〜7.0.6 / 7.2.0 | FortiOS 7.0.7 / 7.2.2、FortiProxy 7.0.7 / 7.2.1 以降 | 2022-10-11 | あり |
| CVE-2022-42475 | SSL-VPNのヒープバッファオーバーフロー（未認証のリモートコード実行） | FortiOS 6.0.0〜6.0.15 / 6.2.0〜6.2.11 / 6.4.0〜6.4.10 / 7.0.0〜7.0.8 / 7.2.0〜7.2.2 | 6.0.16 / 6.2.12 / 6.4.11 / 7.0.9 / 7.2.3 以降 | 2022-12-13 | あり |
| CVE-2023-27997 | SSL-VPNのヒープバッファオーバーフロー（未認証のリモートコード実行） | FortiOS 6.0.0〜6.0.16 / 6.2.0〜6.2.13 / 6.4.0〜6.4.12 / 7.0.0〜7.0.11 / 7.2.0〜7.2.4 | 6.0.17 / 6.2.14 / 6.4.13 / 7.0.12 / 7.2.5 以降 | 2023-06-13 | あり |
| CVE-2024-55591 | 認証バイパス（WebSocketモジュール経由で最上位の管理者権限を取得） | FortiOS 7.0.0〜7.0.16、FortiProxy 7.0.0〜7.0.19 / 7.2.0〜7.2.12 | FortiOS 7.0.17、FortiProxy 7.0.20 / 7.2.13 以降 | 2025-01-14 | あり |
Ivanti Connect Secure / Policy Secure（旧 Pulse Connect Secure）
| CVE番号 | 脆弱性の種類 | 影響バージョン | 修正版 | CISA KEV登録日 | ランサム悪用 |
|---|---|---|---|---|---|
| CVE-2023-46805 | 認証バイパス（CVE-2024-21887と連鎖して未認証のリモートコード実行） | Connect Secure 9.x / 22.x、Policy Secure | ベンダーパッチ（22.5R2.2系以降） | 2024-01-10 | あり |
| CVE-2024-21887 | コマンドインジェクション（上記と連鎖） | Connect Secure 9.x / 22.x、Policy Secure 9.x / 22.x | ベンダーパッチ | 2024-01-10 | あり |
| CVE-2024-21893 | SSRF（SAMLコンポーネントで未認証のまま制限リソースへアクセス） | Connect Secure 9.x / 22.x、Policy Secure 9.x / 22.x、Neurons for ZTA | ベンダーパッチ | 2024-01-31 | あり |
| CVE-2025-0282 | スタックバッファオーバーフロー（未認証のリモートコード実行） | Connect Secure 22.7R2.5未満、Policy Secure 22.7R1.2未満、ZTA Gateways 22.7R2.3未満 | Connect Secure 22.7R2.5 以降 | 2025-01-08 | あり |
| CVE-2025-22457 | スタックバッファオーバーフロー（未認証のリモートコード実行） | Connect Secure 22.7R2.6未満、Policy Secure 22.7R1.4未満、ZTA Gateways 22.8R2.2未満 | Connect Secure 22.7R2.6 以降 | 2025-04-04 | あり |
| CVE-2019-11510 | 任意ファイル読み取り（未認証、旧Pulse Connect Secure） | Pulse Connect Secure 8.2（8.2R12.1未満）/ 8.3（8.3R7.1未満）/ 9.0（9.0R3.4未満） | 8.2R12.1 / 8.3R7.1 / 9.0R3.4 以降 | 2021-11-03 | あり |
| CVE-2026-104935 | なりすましによる認証バイパス（未認証のリモートコード実行） | Connect Secure 25.1.3.0未満（25.1系）/ 22.8R2〜22.8R2.4（22.7R2.14以前は非該当） | Connect Secure 25.1.3.0 以降 | 2026-10-13 | 未確定 |
Cisco ASA / FTD（Secure Firewall）
| CVE番号 | 脆弱性の種類 | 影響バージョン | 修正版 | CISA KEV登録日 | ランサム悪用 |
|---|---|---|---|---|---|
| CVE-2024-20353 | サービス妨害（管理・VPN用Webサーバーの無限ループ、未認証） | ASA / FTD（複数リリースが対象。攻撃活動「ArcaneDoor」で悪用） | 各系統の固定版をCiscoアドバイザリで確認 | 2024-04-24 | 未確定 |
| CVE-2024-20359 | 権限昇格（レガシーVPNクライアントのプリロード機能でroot権限の任意コード実行） | ASA / FTD（複数リリースが対象。同「ArcaneDoor」） | 各系統の固定版をCiscoアドバイザリで確認 | 2024-04-24 | 未確定 |
| CVE-2025-20333 | VPN用Webサーバーの認証後リモートコード実行 | Secure Firewall ASA / FTD（複数リリース。CISA緊急指令ED 25-03の対象） | ASA 9.12.4.72 / 9.14.4.28 / 9.16.4.85 / 9.17.1.45 / 9.18.4.47 / 9.19.1.37 / 9.20.3.7 / 9.22.1.3、FTD 7.0.8.1 / 7.2.9 / 7.4.2.4 / 7.6.1 以降（系統別はCisco公式アドバイザリ参照） | 2025-09-25 | 未確定 |
| CVE-2025-20362 | 認可の欠落（VPN用Webサーバーに未認証で制限URLへアクセス） | Secure Firewall ASA / FTD（複数リリース。CVE-2025-20333と併用される攻撃を確認） | ASA 9.16.4.85 / 9.18.4.67 / 9.20.4.10 / 9.22.2.14 / 9.23.1.19、FTD 7.0.8.1 / 7.2.10.2 / 7.4.2.4 / 7.6.2.1 / 7.7.10.1 以降（9.17・9.19系とFTD 7.1・7.3系は固定版へ移行。詳細はCisco公式アドバイザリ参照） | 2025-09-25 | 未確定 |
| CVE-2023-20269 | リモートアクセスVPNへの不正アクセス（総当たり／不正なSSL VPNセッション確立） | ASA / FTD（リモートアクセスVPN／クライアントレスSSL VPN設定時） | 各系統の固定版をCiscoアドバイザリで確認 | 2023-09-13 | あり |
| CVE-2020-3259 | 情報漏えい（Webサービスインターフェースのメモリ内容を窃取） | ASA / FTD 9.8〜9.13系 | 9.8.4.20 / 9.9.2.67 / 9.10.1.40 / 9.12.3.9 / 9.13.1.10 以降 | 2024-02-15 | あり |
| CVE-2026-76418 | サービス妨害（SSL-VPN有効かつトンネルグループにセカンダリ認証設定時、未認証でデバイス再起動） | SSL-VPN（webvpn）有効かつトンネルグループにセカンダリ認証を設定したASA / FTD | ASA 9.16.4.104 / 9.18.4.96 / 9.20.4.50 / 9.22.3.200 / 9.23.1.48 / 9.24.1.27 / 9.24.10.1、FTD 7.0.11 / 7.2.13 / 7.4.9 / 7.6.7 / 7.7.14 / 10.0.3 / 10.1.1 以降 | 2026-10-29 | 未確定 |
Palo Alto Networks PAN-OS / GlobalProtect
| CVE番号 | 脆弱性の種類 | 影響バージョン・条件 | 修正版 | CISA KEV登録日 | ランサム悪用 |
|---|---|---|---|---|---|
| CVE-2024-3400 | コマンドインジェクション（GlobalProtectで未認証のままroot権限のコマンド実行） | PAN-OS 10.2 / 11.0 / 11.1（GlobalProtect gateway/portal設定時） | 10.2.9-h1 / 11.0.4-h1 / 11.1.2-h3 以降 | 2024-04-12 | あり |
| CVE-2024-0012 | 管理Webインターフェースの認証バイパス（CVE-2024-9474と連鎖） | PAN-OS 10.2 / 11.0 / 11.1 / 11.2（該当版未満） | 10.2.12-h2 / 11.0.6-h1 / 11.1.5-h1 / 11.2.4-h1 以降 | 2024-11-18 | あり |
| CVE-2024-9474 | 権限昇格（管理Web経由でroot権限の操作、上記と連鎖） | PAN-OS 10.1 / 10.2 / 11.0 / 11.1 / 11.2（該当版未満） | 10.1.14-h3 / 10.2.12-h2 / 11.0.6-h1 / 11.1.5-h1 / 11.2.4-h1 以降 | 2024-11-18 | あり |
| CVE-2025-0108 | 管理Webインターフェースの認証バイパス（未認証でPHPスクリプトを実行） | PAN-OS 10.1 / 10.2 / 11.1 / 11.2（該当版未満） | 10.1.14-h9 / 10.2.7-h24 / 11.1.2-h18 / 11.2.4-h4 以降 | 2025-02-18 | 未確定 |
| CVE-2025-0111 | 管理Webインターフェースの認証後ファイル読み取り（CVE-2025-0108と連鎖して悪用。GlobalProtect等のVPN機能ではなく管理画面の脆弱性） | PAN-OS 11.2.4-h4未満 / 11.1 / 10.2 / 10.1（該当版未満。11.0・10.0・9.1・9.0はEOL） | 11.2.4-h4 / 11.1.2-h18 / 10.2.7-h24 / 10.1.14-h9 以降 | 2025-02-20 | 未確定 |
Citrix NetScaler ADC / NetScaler Gateway（旧 Citrix ADC / Gateway）
| CVE番号 | 脆弱性の種類 | 影響バージョン | 修正版 | CISA KEV登録日 | ランサム悪用 |
|---|---|---|---|---|---|
| CVE-2019-19781 | ディレクトリトラバーサルから未認証のリモートコード実行（通称Shitrix） | Citrix ADC / Gateway 10.5 / 11.1 / 12.0 / 12.1 / 13.0 | 11.1-63.15 / 12.0-58.30 / 12.1-55.18 / 13.0-47.24 / 10.5-70.12 以降 | 2021-11-03 | あり |
| CVE-2023-3519 | 未認証のリモートコード実行（コードインジェクション） | NetScaler ADC / Gateway 12.1（12.1-55.297未満）/ 13.0（13.0-91.13未満）/ 13.1（13.1-49.13未満） | 13.0-91.13 / 13.1-49.13 / 12.1-55.297 以降 | 2023-07-19 | あり |
| CVE-2023-4966 | バッファオーバーフローによる機密情報漏えい（セッショントークン窃取、通称CitrixBleed） | 12.1（12.1-55.300未満）/ 13.0（13.0-92.19未満）/ 13.1（13.1-49.15未満）/ 14.1（14.1-8.50未満）（Gateway等の設定時） | 13.0-92.19 / 13.1-49.15 / 14.1-8.50 / 12.1-55.300 以降 | 2023-10-18 | あり |
| CVE-2025-5777 | 入力検証不備によるメモリオーバーリード（通称CitrixBleed 2） | 12.1（12.1-55.328未満）/ 13.1（13.1-58.32未満）/ 14.1（14.1-43.56未満）（Gateway等の設定時） | 13.1-58.32 / 14.1-43.56 / 12.1-55.328 以降 | 2025-07-10 | あり |
| CVE-2025-6543 | Gateway（VPN仮想サーバー等）またはAAA仮想サーバー構成時の未認証メモリオーバーフロー（サービス妨害） | NetScaler ADC / Gateway 14.1-47.46未満 / 13.1-59.19未満、13.1-FIPS・NDcPP 13.1-37.236未満 | 14.1-47.46 / 13.1-59.19 / 13.1-37.236 以降 | 2025-06-30 | 未確定 |
| CVE-2025-7775 | Gateway（VPN仮想サーバー等）またはAAA仮想サーバー構成時の未認証メモリオーバーフロー（リモートコード実行・サービス妨害） | NetScaler ADC / Gateway 14.1-47.48未満 / 13.1-59.22未満、13.1-FIPS・NDcPP 13.1-37.241未満、12.1-FIPS・NDcPP 12.1-55.330未満 | 14.1-47.48 / 13.1-59.22 / 13.1-37.241 / 12.1-55.330 以降 | 2025-08-26 | 未確定 |
SonicWall SonicOS / SMA
| CVE番号 | 製品・脆弱性の種類 | 影響バージョン | 修正版 | CISA KEV登録日 | ランサム悪用 |
|---|---|---|---|---|---|
| CVE-2024-40766 | SonicOS：不適切なアクセス制御（未認証でリソースへアクセス） | Gen5 / Gen6 全般、Gen7 は SonicOS 7.0.1-5035 以前 | 5.9.2.14-13o / 6.5.2.8-2n / 6.5.4.15.116n / 7.0.1-5035 以降のパッチ | 2024-09-09 | あり |
| CVE-2024-53704 | SonicOS：SSL-VPN認証機構の不備（リモートで認証バイパス） | SonicOS（Gen7）7.1.x-7051 / 7.1.2-7019 等 | 7.1.3-7015 以降 | 2025-02-18 | あり |
| CVE-2021-20016 | SMA100：SSL-VPNのSQLインジェクション（未認証で資格情報取得） | SonicWall SMA100 シリーズ | 10.2.0.5-29sv 以降 | 2021-11-03 | あり |
| CVE-2026-19868 | SonicOS：SSL-VPN認証後に別の認証方式の資格情報でSAML認証・多要素認証をバイパス | SonicOS Gen7 7.3.3-7015以前 / Gen8 8.2.2-8015以前 | ベンダー提供の修正版（SonicWall PSIRT SNWLID-2026-0014参照） | 2026-11-06 | 未確定 |
Check Point Quantum（リモートアクセスVPN）
| CVE番号 | 脆弱性の種類 | 影響バージョン | 修正版 | CISA KEV登録日 | ランサム悪用 |
|---|---|---|---|---|---|
| CVE-2024-24919 | 情報漏えい（リモートアクセスVPNまたはMobile Access blade有効時に未認証で情報読み取り） | Quantum Security Gateways / CloudGuard Network ほか（該当blade有効時） | ベンダー提供のホットフィックス（Check Point SK182336参照） | 2024-05-30 | あり |
| CVE-2026-50751 | 非推奨のIKEv1を使うリモートアクセスVPN / Mobile Accessで、証明書検証の不備により未認証で認証バイパス | R80.20.X / R80.40 / R81 / R81.10 / R81.10.X / R81.20 / R82 / R82.00.X / R82.10（IKEv1利用時） | ベンダー提供のホットフィックス（Check Point sk185033参照） | 2026-06-08 | あり |
※2026年11月時点のCISA KEV Catalog（catalogVersion 2026.11.06）および各ベンダーのセキュリティアドバイザリ・NVDに基づく。影響バージョン・修正版はベンダーの更新で変わるため、対応前に必ず各ベンダー公式の最新情報を確認してください。
出典・参考資料（2件）
VPN脆弱性の主な種類（一覧表の「種類」列を読み解く）
一覧表の「脆弱性の種類」列には、攻撃者がどのように悪用するかによっていくつかのパターンがあります。自社のリスクを把握しやすいよう、主な種類を整理します。
認証を回避する脆弱性は、本来ログインが必要な管理画面やVPNセッションに、正規の資格情報なしで侵入できてしまうものです。一覧の「認証バイパス」「認可の欠落」がこれにあたり、Fortinetの CVE-2022-40684 やPalo Altoの CVE-2024-0012 のように、攻撃者が一気に管理者権限を取得する起点になります。
機器そのものを乗っ取る脆弱性は、未認証のまま任意のコードを機器上で実行できるもので、「バッファオーバーフロー」「コマンドインジェクション」「リモートコード実行」と表記されます。FortiOSの CVE-2022-42475 やPAN-OSの CVE-2024-3400 が代表例で、VPN機器を踏み台に社内ネットワークへ侵入されます。
情報を抜き取る脆弱性は、設定ファイルやメモリ上の認証情報・セッショントークンを窃取するもので、「情報漏えい」「パストラバーサル」が該当します。Citrixの CVE-2023-4966（CitrixBleed）のように、盗んだセッション情報を使えば多要素認証を回避してログインされるおそれがあります。こうした認証情報の窃取は、その後の社内への侵入拡大（横展開）の足がかりになります。
いずれも、修正版が公開されているのにパッチを適用していない機器や、サポートが終了した古い機器が放置されていることが被害につながる共通の原因です。種類を問わず、まず自社機器が一覧に該当しないかを確認することが出発点になります。
自社のVPN機器が該当するかを確認する手順
ここからは、一覧で当たりをつけたうえで、自社のVPN機器が本当に該当するかを確認する手順を解説します。型番とバージョンの把握から、公的データベース・ベンダー情報との突き合わせまで、順番に進めてください。
型番・ファームウェアバージョンを確認する
最初に、自社で使っているVPN機器の製品名・型番と、稼働しているファームウェア（ソフトウェア）のバージョンを正確に把握しましょう。管理画面のダッシュボードやシステム情報の画面、またはベンダーが示すコマンドで確認できます。脆弱性が影響するかどうかはバージョン単位で決まるため、「FortiGateを使っている」だけでなく「FortiOSの何版か」まで特定することが重要です。
公的データベース（CISA KEV・JVN）で突き合わせる
把握した製品名・バージョンを、本記事の一覧や公的な脆弱性データベースと突き合わせてください。CISA KEVは実際に悪用が確認された脆弱性を製品名つきで公開しており、国内ではJPCERTコーディネーションセンターとIPA（情報処理推進機構）が運営するJVN（Japan Vulnerability Notes）で日本語の脆弱性情報を確認できます。
該当するCVEが見つかったら、そのCVEが自社のバージョンを影響範囲に含むかを確かめましょう。
出典・参考資料（2件）
ベンダー公式アドバイザリで修正版を確認する
該当する脆弱性が見つかったら、各ベンダーのセキュリティアドバイザリ（Fortinet PSIRT、Ivantiのセキュリティアドバイザリ、Cisco Security Advisory、Palo Alto Networks Security Advisories など）で、影響を受けるバージョンと修正版を確認してください。
ベンダー情報には、すぐにパッチを当てられない場合の暫定的な回避策（該当機能の無効化やアクセス制限）が示されていることも多いため、あわせて確認してください。
確認のチェック観点（型番・ファーム版・公開状況）
自社点検の際は、次の観点を押さえると漏れが減ります。
- すべてのVPN機器の製品名・型番・ファームウェアバージョンを棚卸しできているか（拠点や部門ごとに管理が分かれていないか）
- サポートが終了した機器（EOL機器）が残っていないか。修正版が提供されない機器は特に危険です
- VPN機器の管理画面がインターネットから直接アクセスできる状態になっていないか
- 保守を委託している場合、委託先が設置したVPN機器や保守用の接続経路まで把握できているか
一括ダウンロードする
なぜVPN機器が狙われるのか（侵入経路の最多という実態）
自社機器の確認と並行して、「なぜ今これを確認すべきか」を押さえておくと、社内や経営層への説明がしやすくなります。VPN機器は、インターネットに公開され、社内ネットワークへの入り口になるという性質から、攻撃者に狙われやすい対象です。警察庁の調査では、ランサムウェア被害における侵入経路のうちVPN機器が最も多くを占めています。
被害組織へのアンケート結果によると、侵入経路はVPN（Virtual Private Network）機器が６割以上を占める状況である。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
直近の令和8年上半期（2026年上半期）の調査でも、侵入経路はVPN機器が約5割を占めています。年次と半期では調査の母集団が異なるため単純な増減の比較はできませんが、いずれの時期でもVPN機器が侵入経路の上位であることは一貫しています。修正版が公開されているのにパッチが適用されていない機器が狙われるケースが多く、新しい脆弱性が公表されるたびに自社機器の点検が必要になります。
出典・参考資料（1件）
実際の被害事例
VPN機器の脆弱性を起点とした被害は、実際に国内でも発生しています。2022年10月に大阪急性期・総合医療センターで発生したランサムウェア被害は、その代表例です。同センターの調査委員会報告書では、侵入の起点が次のように説明されています。
給食事業者が設置･運営する給食システムに、情報基盤構築事業者がリモート保守のために設置したVPN機器の脆弱性を用いて侵入（漏洩され公開されていたID・パスワード情報を用いて侵入された可能性もある）。
出典：情報セキュリティインシデント調査委員会報告書について（概要）｜大阪急性期・総合医療センター
この事例では、取引先である給食事業者の保守用VPN機器を経由して病院の基幹システムに侵入され、電子カルテが暗号化されました。その影響で長期間の診療制限を余儀なくされ、電子カルテサーバーが再稼働したのは同年12月12日、診療機能が完全復旧したのは翌年1月11日でした。自社が直接管理していない、委託先や保守用の接続経路にあるVPN機器も点検の対象になることを示しています。
医療以外でも、令和6年（2024年）7月には国内の宇宙航空分野の研究開発機関が、VPN装置の脆弱性を起点とする不正アクセスにより、端末・サーバー・クラウド上で管理していた情報の一部が漏えいしたことを公表しています。業種を問わず、VPN機器の脆弱性が実被害に直結している状況です。
出典・参考資料（1件）
VPNの脆弱性が見つかったときの対策の順番
自社機器に該当する脆弱性が見つかったら、被害に遭う前にできるだけ早く露出を下げることが重要です。ここからは、対策を効果の出やすい順に整理します。
管理画面の非公開とアクセス元の制限（今すぐ露出を下げる）
最初に行うべきは、パッチ適用を待たずにできる露出の低減です。VPN機器の管理インターフェースをインターネットから直接アクセスできない状態にし、接続元を信頼できるネットワークに限定してください。CISAも、悪用が確認された脆弱性への必須対応として、影響を受ける機器の管理インターフェースをインターネットを含む信頼できないネットワークに公開しないよう求めています。
すぐにパッチを当てられない場合でも、この措置で攻撃を受けるリスクを下げられます。
修正版の適用とサポート終了機器の管理
露出を下げたうえで、ベンダーが提供する修正版（パッチ）を適用しましょう。一覧の「修正版」列や各ベンダーのアドバイザリで、自社のバージョンに対応する修正版を確認してください。サポートが終了した機器は修正版が提供されないため、残っている場合は後継機種への置き換えを計画しましょう。警察庁も、主要な侵入経路であるVPN機器について速やかな対応を求めています。
特に、主要な侵入経路であるＶＰＮ機器等は速やかな対応が必要である。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
多要素認証の導入と認証情報の見直し
盗まれた認証情報の悪用や総当たり攻撃への備えとして、VPNへのログインに多要素認証を導入しましょう。あわせて、過去に脆弱性の影響を受けた機器では認証情報が漏えいしている可能性があるため、パスワードの変更と、情報漏えい型の脆弱性の場合はセッションの無効化を行いましょう。
CitrixBleed（CVE-2023-4966）のように、盗まれたセッション情報で多要素認証を回避される脆弱性では、パッチ適用後に有効なセッションをすべて失効させることが必要です。
接続経路・機器の棚卸し
その場しのぎで終わらせず、社内のVPN機器と接続経路を棚卸しして、継続的に管理できる状態にします。前述の大阪急性期・総合医療センターの事例のように、委託先の保守用機器が侵入口になることもあるため、自社が直接管理していない機器や経路まで含めて把握することが重要です。
中長期の選択肢（ゼロトラスト・SASE）
中長期的には、社内ネットワークへの入り口を一点に集約するVPNの構造そのものを見直す選択肢もあります。利用者・端末ごとにアクセスを検証するゼロトラストの考え方や、ネットワークとセキュリティ機能をクラウドで統合するSASEへの移行は、VPN機器の脆弱性に依存しないアクセス基盤づくりにつながります。既存のVPN運用を続ける場合も、ここまでの点検・パッチ・認証強化を定期的に回す体制が前提になります。
侵害が疑われるときの初動
すでに侵入された痕跡がある場合は、対策の順番とは別に、インシデント対応として動く必要があります。不審なログインやログの有無を確認し、被害の拡大を防ぐために該当機器をネットワークから切り離してください。その際、原因究明や公的機関への報告に備えて、ログやディスクなどの証拠となるデータを保全してから対処することが重要です。
自社だけで切り分けが難しい場合は、専門の調査会社やIPA・JPCERTコーディネーションセンターなどの相談窓口に早めに連絡しましょう。
侵入された可能性が高く、原因究明や証拠保全を外部の専門家に委ねたい場合は、対応範囲や費用、証拠能力の観点から調査会社を比較した以下の記事が依頼先選びの参考になります。
デジタルフォレンジック調査会社おすすめ比較｜費用・対応範囲・証拠能力で選ぶ
不正アクセスやランサムウェア感染、退職者による情報の持ち出しが疑われたとき、社内だけで原因を突き止め、証拠を残すのは簡単ではありません。証拠となるデータは電源の入り切りやファイルを開く操作だけでも失われることがあり、初動を誤ると「何が起きた…
自力で確認しきれないときは外部の脆弱性診断を使う
ここまでの確認や対策を自社だけで進めるのが難しい場合は、外部の脆弱性診断サービスを使う方法があります。VPN機器を含むネットワーク全体の状態を外部の目で点検することで、自社では気づきにくい公開状況の不備や内部に潜むリスクを洗い出せます。
診断サービスは、ネットワーク機器をリモートで継続的に診断するもの、社内の通信を分析してリスクを可視化するもの、擬似的な攻撃で侵入可否を試すペネトレーションテストなど、アプローチが分かれます。ここでは診断範囲の異なる3つのサービスを紹介します。
VPN機器を含む外部公開面に実際に侵入できるかを試したいならペネトレーションテスト、社内ネットワークに侵入された後の内部の通信を把握したいなら通信の全数分析、社内の機器を外部からまとめて継続的に点検したいならリモート診断が対応します。
自社のVPNが外部から突かれないかを試したいのか、突破後の内部に備えたいのかで、適したものが変わります。
以下はご紹介するサービスの比較表です。
| サービス名 | セキュア・レントゲン | CoWorker 脆弱性診断サービス | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 提供会社 | 株式会社クワッドマイナージャパン | CoWorker株式会社 | 株式会社SYNCHRO |
| 診断アプローチ | ネットワーク通信を全数分析してリスクを可視化 | 擬似攻撃で侵入可否を試すペネトレーションテスト | オフィス内機器を外部からリモート診断 |
| 主な診断対象 | 社内ネットワークの実通信（IT／OT環境） | Webアプリ・API・ソースコード（VPN機器等はネットワークペネトレーションテストで対応） | 社内ネットワーク内部の機器（サーバー・ネットワーク機器・複合機・PC等） |
| 診断方式 | フルパケットキャプチャ（ミラーリング方式で接続） | 自社開発AI「Red Agent」の自動解析＋専門家確認 | ステルス回線によるリモート診断（Kali Linuxベース・約600項目） |
| 診断頻度 | スポット型（機器を約2週間設置し最短1カ月で報告） | スポット〜四半期・月次の定期診断に対応 | 月次（年12回）の継続診断 |
| 料金 | 要問い合わせ（分析手法・設置台数で変動） | ソースコード診断15万円〜 動的診断30万円〜 Webペネトレーションテスト60万円〜 ネットワークペネトレーションテスト100万円〜 | 1台1,250円／月〜（100ノード以下は年額90万〜150万円） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
セキュア・レントゲン（株式会社クワッドマイナージャパン）
セキュア・レントゲンは、株式会社クワッドマイナージャパンが提供するネットワークリスク診断サービスです。NDR（ネットワーク検知・対応）製品「Network Blackbox」のフルパケットキャプチャ技術を使い、実際にネットワーク上を流れている通信を全数取得して分析します。
設定内容をスキャンする一般的な脆弱性診断と異なり、通信の中身まで確認するため、外部からの攻撃の痕跡や、すでに内部に侵入・潜伏している脅威、不審な通信までを洗い出せる点が特徴です。機器をミラーリング方式で接続するため業務への影響を抑えられ、顧客側の作業はミラーリング設定が中心になります。機器を2週間ほど設置して分析し、最短1カ月でセキュリティ課題と対策を提示する、期間を区切ったスポット型の診断です。
IT環境に加えてOT（制御技術）環境のネットワークにも対応します。料金は分析手法や設置台数によって変わるため、要問い合わせとなっています。
VPN機器のような社外との接点を突破された後、社内ネットワークの内部で何が起きているかを把握できるかも論点になります。同社の白垣氏は、入り口と出口の対策を固めている金融機関の現場について次のように話しています。
金融機関のお客様は、脆弱性診断やペネトレーションテストをすでに実施されていたり、ネットワーク分離によって、境界防御やエンドポイント、つまり入り口と出口の対策はしっかり固めていらっしゃるところが大多数です。ただ、お話を伺うと「侵入されない前提で設計しているからこそ、そこを突破されてひとたび中に入られてしまうと、内部は弱いんだよね」という現状があるとおっしゃいます。
CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社の脆弱性診断サービスは、WebアプリケーションやAPIを対象に、ソースコードを解析する静的診断、実際にアクセスして解析する動的診断、擬似的な攻撃を仕掛けるペネトレーションテストの3つの方法を用意しています。ネットワークペネトレーションテストにも対応しており、VPN機器を含む外部公開環境に対して、実際に侵入できるかを試す形で弱点を確認できます。
自社開発のAI診断システム「Red Agent」を用いることで、従来の診断と比べて短時間での診断を実現している点が特徴です。料金は、静的診断（ソースコード診断）が15万円から、動的診断がAPIのエンドポイント数に応じて30万円から、Webペネトレーションテストが60万円から、ネットワークペネトレーションテストが100万円からと公表されています。
攻撃側のスピードが上がるなかで、年1回だった診断を四半期や月次で回したいという需要に対応する設計です。
こうした定期的な診断が必要とされる背景について、CoWorker株式会社の一ノ瀬氏は次のように説明しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROのKATABAMIは、IPv6アドレスと暗号化技術を組み合わせた国産の通信技術を使い、インターネット上に見えない専用の通信経路を構築する仕組みです。このパッケージでは、その経路を利用して脆弱性診断とバックアップを提供しています。
脆弱性診断では、サーバーやネットワーク機器、複合機といったオフィス内の機器を、リモートで診断できる点が特徴です。従来の訪問型の診断は専門家が現地に出向くためコストがかさみ、年1回程度の実施にとどまりがちでしたが、KATABAMIは場所や立ち会いの用意なしに外部から継続的に診断できるため、コストを抑えて定期的に実施しやすい設計になっています。
社内ネットワークの内側まで含めて点検したい企業に向いています。
ここで取り上げた3サービスは、診断アプローチの異なる一例です。費用相場や選び方、無料ツールとの違いも含めて脆弱性診断サービスをより広く比較検討したい場合は、以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
VPN機器は、ランサムウェア攻撃の侵入経路として最も多く狙われており、前述の主要製品の多くで、実際に悪用が確認された脆弱性が数多く公開されています。まずは本記事の一覧で自社の製品・バージョンが該当しないかを確認し、該当する場合は管理画面の非公開・パッチ適用・多要素認証・棚卸しの順に対策を進めてください。
新しい脆弱性は日々公表されるため、一度の点検で終わらせず、継続的に確認できる体制をつくることが重要です。自社だけで確認しきれない場合は、ネットワーク全体を外部の目で点検する脆弱性診断の利用も検討するとよいでしょう。各サービスの資料をまとめて取り寄せ、自社の環境に合う診断方法を比較してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. CISA KEV（悪用が確認された脆弱性カタログ）とは何ですか？
A. CISA KEVは、米国CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が、実際の攻撃で悪用が確認された脆弱性だけを製品名つきで公開する一覧（Known Exploited Vulnerabilities Catalog）です。研究上の指摘にとどまらず、現実の攻撃で悪用されたことが確認された証拠にあたるため、優先して対応すべき脆弱性を見分ける手がかりになります。
本記事の製品別・CVE別の一覧も、このCISA KEVに登録された脆弱性を土台に整理しています。
Q. VPN機器の脆弱性は、ファームウェアを最新にすれば対策として十分ですか？
A. VPN機器の脆弱性対策は、ファームウェアを最新の修正版にするだけでは十分とはいえません。修正版の適用に加えて、管理画面をインターネットから直接アクセスできない状態にして接続元を信頼できるネットワークに限定する、ログインに多要素認証を導入する、サポートが終了した機器を後継機種へ置き換える、機器と接続経路を棚卸しする、といった対策を組み合わせる必要があります。
特に、すぐにパッチを当てられない場合でも、管理画面の非公開とアクセス元の制限は今すぐ攻撃のリスクを下げられるため、更新より先に着手する価値があります。
Q. 自社のVPN機器が悪用中の脆弱性を抱えていないか、どこで調べればよいですか？
A. 自社のVPN機器が悪用中の脆弱性を抱えていないかは、まず製品名・型番と稼働中のファームウェアバージョンを把握し、本記事の一覧や公的な脆弱性データベースと突き合わせて確認します。
悪用が確認された脆弱性は米国CISAのCISA KEVが製品名つきで公開しており、国内ではJPCERTコーディネーションセンターとIPA（情報処理推進機構）が運営するJVN（Japan Vulnerability Notes）で日本語の脆弱性情報を確認できます。該当するCVEが見つかったら、そのCVEが自社のバージョンを影響範囲に含むかを、各ベンダーのセキュリティアドバイザリで確かめてください。
出典・参考資料（2件）
Q. VPN機器の脆弱性が公表されたら、どれくらいの期間で直すべきですか？
A. VPN機器の脆弱性が公表されたら、被害に遭う前に、できるだけ早く対応すべきです。警察庁も、主要な侵入経路であるVPN機器について速やかな対応が必要だとしています。修正版が公開されているのにパッチが適用されていない機器が狙われるケースが多いため、公表後は速やかに修正版を適用するのが基本です。
すぐにパッチを当てられない事情があるときは、管理画面の非公開と接続元の制限で露出を下げる応急措置を先に行い、その後できるだけ早く修正版を適用してください。
出典・参考資料（1件）
Q. VPN機器の保守を外部業者に任せている場合、自社では何を確認すればよいですか？
A. 保守を外部業者に委託している場合でも、委託先が設置したVPN機器や保守用の接続経路まで含めて、自社で把握しておく必要があります。大阪急性期・総合医療センターの事例では、取引先が保守用に設置したVPN機器が侵入口になりました。
委託先に対して、使用している機器の製品名・型番とファームウェアバージョン、修正版の適用状況、管理画面がインターネットから見える状態になっていないかを確認し、自社が直接管理していない機器や経路も点検の対象に含めてください。
Q. サポートが終了したVPN機器（EOL機器）はどうすればよいですか？
A. サポートが終了したVPN機器（EOL機器）は、修正版（パッチ）が提供されないため、後継機種への置き換えを計画すべきです。新しい脆弱性が公表されても修正されないまま放置されるため、特に危険な状態になります。置き換えが完了するまでの間は、管理画面をインターネットに公開しない・接続元を信頼できるネットワークに限定するといった露出を下げる措置で、暫定的にリスクを抑えてください。
Q. VPN機器のセキュリティ対策に多要素認証は必要ですか？
A. VPN機器のセキュリティ対策に、多要素認証の導入は有効で、導入を推奨します。盗まれた認証情報の悪用や総当たり攻撃への備えになるためです。ただし、CitrixBleed（CVE-2023-4966）のように、盗まれたセッション情報を使って多要素認証を回避される脆弱性もあります。
多要素認証だけに頼らず、修正版の適用や、情報漏えい型の脆弱性の場合はパッチ適用後に有効なセッションをすべて失効させる対応と組み合わせることが重要です。
Q. VPNをやめてゼロトラストやSASEに移行すると、何が変わりますか？
A. VPNからゼロトラストやSASEへ移行すると、社内ネットワークへの入り口を一点に集約するVPNの構造そのものを見直し、VPN機器単体の脆弱性に依存しないアクセス基盤に変えられます。利用者・端末ごとにアクセスを検証するゼロトラストの考え方や、ネットワークとセキュリティ機能をクラウドで統合するSASEが、その代表的な選択肢です。
ただし移行には相応の時間と体制づくりが必要なため、既存のVPN運用を続ける間も、ここまでに挙げた点検・パッチ適用・認証強化を定期的に回すことが前提になります。
Q. VPN機器が侵害されたかもしれないときは、どこに相談すればよいですか？
A. VPN機器が侵害されたかもしれないときは、まず該当機器をネットワークから切り離し、証拠となるログやディスクのデータを保全したうえで、自社で切り分けが難しければ専門の調査会社やIPA・JPCERTコーディネーションセンターの相談窓口に早めに連絡します。原因究明や公的機関への報告に備えて、対処の前に証拠データを保全しておくことが重要です。
不審なログインやログの有無を確認し、被害の拡大を防ぐための初動と並行して、相談先への連絡を進めてください。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、VPN機器やネットワークの脆弱性診断サービスの最新資料を無料で一括請求できます。診断範囲や進め方を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
