はじめに

2026年10月は、パッチが化けて出た月でした。

最終週だけを切り取っても、CISAはPHPの脆弱性2件（通称「PHP2Shell」）を悪用確認済みカタログ（KEV）に追加しました。Firefox 159は、1つのアドバイザリで167件のCVE（公開された脆弱性に付く識別番号）を公開しています。WordPress 7.1.4は22件の脆弱性を修正しました。月の前半には、MicrosoftのPatch Tuesdayが1,400件を超えました。Oracleの四半期アップデートも1,295件のパッチを出しています。

見出しだけを追えば、「ソフトウェアが壊れ始めた」と読めます。けれど数字を並べてみると、別の姿が見えてきます。

この記事の仮説はこうです。増えたのはバグそのものより、バグを見つける力と数え方だった。そして本当に問われているのは、それを受け止めるプロセスの方だ。

なお、英語で書いたMedium版を土台に、Qiita向けに再構成しています。

お化けは前から家にいた

まずは規模から。CVE Programの四半期データを使い、1月から9月の同じ期間でそろえて比べました。

出典：CVE Program Metrics

増加そのものは、2026年に始まったわけではありません。2024年と2025年にも、2桁の伸びがありました。それでも2026年は別物です。9月末の時点で、すでに2025年の通年（48,244件）を超えていました。

ここで1つ注意があります。これは公開日で数えた数字です。2026年10月に公開されたCVEが、何年も前に出荷されたコードのバグを指していても不思議ではありません。

公開日は、バグが混入した日ではない。「今月見つかったバグ」と「今月作り込んだバグ」は、別の数字です。

見つける力が上がると、グラフは跳ねる

一番わかりやすい例はFirefoxです。

Mozillaは2025年を通じて、月に20〜30件ほどのセキュリティバグを修正していました。それが2026年4月には423件になります。うち271件は、AnthropicのClaude Mythos Previewを使って見つかったものです。

Mozillaはこれらを、出荷済みのコードに潜んでいた潜在的なバグだと説明しています。新しく作り込まれたのではなく、前から家にいたお化けです。

Mozilla Hacksの解説記事を読むと、「AIがバグを見つけた」で終わる話でもないとわかります。Firefoxのチームは、既存のファジング基盤の上にエージェント型のパイプラインを組みました。再現可能なテストケースを必須にし、重複排除とトリアージを通してから修正に回しています。成果を実用的なものにしたのは、モデルの性能だけでなく、その周りの検証の仕組みでした。

ここから立てられる仮説は単純です。検出の仕組みが変われば、製品が同じでもバグ件数は跳ねる。グラフの上昇だけでは、品質の悪化なのか、ライトが明るくなっただけなのかを区別できません。

数え方が変わっても、グラフは跳ねる

2つ目の落とし穴は、計測方法そのものの変更です。

Firefox 159のアドバイザリによると、社内で見つかったメモリ安全性のバグは、1つのCVEにまとめず、バグごとのCVEとして公開する方針へ変わりました。作業量が同じでも、見出しの数字は大きくなります。

CVEの仕組み全体も変わっています。CVEを採番できる組織（CNA）は、2022年末の263から、2026年第3四半期末には563まで増えました。発行元が増えれば、レコードも増えます。ソフトウェアの安全性とは関係なく、です。

Microsoftの10月のPatch Tuesdayに至っては、集計する人によって合計が1,407件から1,416件までばらつきました。既知の問題やサードパーティ製コンポーネントを含めるかどうかで、数字が変わるためです。

品質指標でも同じことが起きます。起票ルールを変えた。チケットの分割単位を変えた。重大度の定義を見直した。どれもダッシュボードの上では「品質の変化」に見えてしまいます。

グラフが跳ねたら、まず計測方法が変わっていないかを確かめる。10月は、その当たり前を大規模に見せてくれた月でした。

チケットが溢れたとき、何が起きたか

見つける力が上がると、次は受け止める側が詰まります。この章が、セキュリティの外へ一番持ち出しやすい部分です。

WordPressのHackerOne（脆弱性報告を受け付けるプラットフォーム）には、約10年間、月20〜30件の報告が届いていました。2026年7月には450件、8月には773件です。

セキュリティチームの報告によれば、2026年の報告は3,000件を超え、過去12年分の合計を上回りました。スパムや対象外の報告を除いた数です。

GitHubも同じ波をかぶりました。Advisory Databaseは2026年5月に1,560件のレビュー済みアドバイザリを公開しています。通常の月の5倍を超える量です。それでも流入には追いつかず、一部のレビューは数週間待ちとなりました。

発見が安くなっても、ボトルネックは消えません。検証、重複排除、調整、修正、公開の側へ移るだけです。

では、溢れたチケットにどう対処したのか。両チームの打ち手を並べると、意外なほどシンプルでした。

打ち手	WordPressの例	Mozillaの例
入口で対象を絞る	9月1日にバグバウンティの対象範囲を見直し、影響が明確な問題に集中	探索対象をソースファイル単位で指定し、AIに調べさせる
再現をゲートにする	AIが報告を安全な環境で再現し、要約と推奨を付ける	AIに再現可能なテストケースを作らせ、実際にクラッシュするか確かめる
判断は人に残す	最終判断はセキュリティ研究者が行う	届いたバグはFirefoxのエンジニアが確認して修正する
出口を自動化する	セキュリティリリースの109工程の約73%を自動化	新しいビルドを毎週ユーザーへ届ける

結果として、WordPressのトリアージ待ちは359件から2桁まで減りました。ただし、これで片付いたわけではありません。量に対する運用上の答えであって、すべての報告を遅れなく捌ける証明ではない。そこは区別しておきたいところです。

件数ではなく、影響で見る

では、脆弱性が倍増した分だけ、攻撃も増えたのでしょうか。

手がかりとして、CISAのKEVカタログを集計しました。KEVは、実際に悪用された証拠がある脆弱性だけを集めたリストです。

出典：CISA KEVの公式データを集計（2026年10月30日時点のスナップショット）。dateAddedはカタログへの追加日であり、悪用が始まった日ではない。

CVEの公開数は、KEVへの追加数よりはるかに速く伸びています。ただし、2つを割り算して「悪用率」と呼ぶことはできません。KEVに追加されたものには何年も前のCVEが含まれていて、比べている母集団が違うからです。

悪用率を測るなら、ある期間に公開されたCVEをコホートとして追い、後から悪用の証拠が出たものを数える必要があります。

一方で、絶対数を見ると楽観もできません。1〜10月で比べると、2025年の214件に対して2026年は282件。約32%の増加です。PHP2Shellでは、PHPが緊急修正を出した10月21日の4日前、10月17日にはすでに悪用の試みが観測されていました（AWSの報告）。

品質の言葉に直せば、「起票されたバグの数」ではなく「本番で起きた障害」や「ユーザーに届いた影響」で見る、という話です。ただし分母と分子の母集団をそろえないと、きれいな比率ほど嘘をつきます。

一番育ったお化けは、パッチギャップ

この1か月で本当に大きくなったリスクがあるとすれば、それはバグの数ではありません。修正がコードに入ってから、ユーザーの手元に届くまでの時間。いわゆるパッチギャップです。

バグを見つけるモデルは、パッチも読めます。AnthropicのFrontier Red Teamの報告によると、Mythos PreviewはFirefoxの修正が公開ソースに入ってから1時間以内に、動作するエクスプロイトを作りました。修正を含むリリースは、その時点でまだ18日先でした。

Mozillaはこれを受けて、新しいビルドを毎週ユーザーに届ける体制へ移りました。修正がリリースされるまで、一部の回帰テストを公開しない対策も発表しています。

品質の現場に置き換えると、「修正がマージされた」と「修正が本番に出た」の間の時間です。DORAの指標でいう変更のリードタイム（変更が本番へ届くまでの時間）に近い考え方です。発見が速くなるほど、ここの遅さが目立ちます。

現場に持ち帰れること

10月のパッチの山から、セキュリティ以外にも使える教訓を3つ挙げます。

グラフが跳ねたら、まず計測方法を疑う。 検出ツールの導入、起票ルールの変更、集計範囲の違いは、どれも品質の変化に見えてしまう。グラフには、計測方法を変えた日を注釈として残しておく
流入が急増したら、入口と出口から手を付ける。 対象範囲を絞り、再現をゲートにし、リリース工程を自動化する。再現手順のない報告は、ラベルを付けて差し戻す。人の判断は、最後の判定に集中させる
件数ではなく、届くまでの時間を見る。 修正がマージされたかではなく、本番に届いたかを追う。マージとデプロイの日時をチケット単位で記録すれば、その差がそのまま指標になる

おわりに

明るいライトのおかげで、ずっと家の中にいたお化けが、ようやく見えるようになりました。増えたのはお化けではなく、見つける力と数え方です。

そして怖いのは、10月に何体見つかったかではありません。居場所がわかったあとも、ドアを開けっぱなしにしている時間の方です。