GUARD SAGASのセキュリティ診断機能を大幅強化。重大な脆弱性の詳細表示とCVE情報の照合精度を向上
Webサイトのセキュリティ診断を、より詳しく、より分かりやすく
Webサイトのセキュリティ診断サービス「GUARD SAGAS」は、既知脆弱性（CVE）の照合機能、重大な脆弱性の詳細表示、診断結果の解説機能などを大幅に強化しました。
今回の機能強化では、WordPressなどのCMS、PHP、Webサーバー、プラグイン、テーマなどに関する既知の脆弱性情報を、より詳しく確認できるようにしました。
従来の「問題がある」「危険性が高い」といった判定だけでは、実際に何が問題となっているのか、どのような影響が考えられるのか、どのように対処すべきなのかが分かりにくい場合があります。
今回の強化では、脆弱性の検出だけでなく、その内容・想定される影響・影響バージョン・必要な対応まで確認できる診断結果を目指しました。
サイトの所有者や管理担当者だけでなく、Web制作会社や保守担当者が実際の改善作業に活用できるよう、情報の表示方法も見直しています。
既知脆弱性（CVE）の情報収集と照合機能を強化
Webサイトで利用されているソフトウェアには、新たな脆弱性が継続的に発見・公表されています。
特にWordPressなどのCMS、PHP、Webサーバー、プラグインやテーマについては、使用バージョンによって既知脆弱性の影響を受ける可能性があります。
GUARD SAGASでは、国内外の複数の脆弱性情報源から公開情報を収集・管理し、外部から確認できた製品・バージョンとの照合に利用しています。
主な脆弱性情報源
- NVD：米国NISTの脆弱性データベース
- CVE List：CVE ProgramおよびCNAが公開する公式CVE記録
- Wordfence Intelligence：WordPress関連の脆弱性情報
- OSV.dev：オープンソースソフトウェアや依存パッケージの脆弱性情報
- CISA KEV：実際の悪用が確認された既知脆弱性の情報
- JVN iPedia：国内の脆弱性対策情報
- Joomla! Security Centre：Joomla公式のセキュリティ情報
また、WordPress.orgや各製品の公式情報なども参照し、ソフトウェアのサポート状況や更新情報の確認に活用しています。
今回は新たに、CVE List v5の公式記録を利用した情報取得・照合処理を強化しました。
NVDでは新しいCVEが公開されても、影響製品やバージョンの解析が完了していない場合があります。 CVE Listの情報を併用することで、CVEの発行元が公開した製品名、影響範囲、修正情報などを確認できる場合があります。
複数の情報源を組み合わせることで、ひとつのデータベースに情報が掲載されるのを待つだけでは確認しにくかった脆弱性にも対応しやすくなりました。
収集処理は分割実行や処理位置の保存に対応し、継続的に情報を更新できる構成です。 ただし、各情報源の公開状況や取得時点によって、照合できる情報には差があります。
重大な脆弱性の内容と想定される影響を詳しく表示
今回の機能強化で特に重視したのが、重大な脆弱性に関する説明です。
例えば、PHPやCMSに重大な脆弱性が見つかった場合、「重大な脆弱性があります」という表示だけでは、サイト管理者が具体的な危険性を理解することは難しい場合があります。
そこで、診断対象のソフトウェアと既知の脆弱性情報を照合し、該当する情報がある場合には、CVEごとに技術的な詳細を確認できるようにしました。
確認できる主な情報
- CVE番号と対象となる製品
- 脆弱性の重大度
- 脆弱性の内容と発生する原因
- 情報漏えい・不正操作・サービス停止など、想定される影響
- 影響を受けるバージョンの範囲
- 公開されている修正版・修正情報
- 対象サイトへの該当が確認できたか、追加確認が必要か
- 必要な対応や更新の方向性
- 情報の公開元や参照先
脆弱性の内容については、CWEやCVSSなどの公開情報も参考にしながら、可能な範囲で原因と想定される影響を区別し、日本語で分かりやすく説明します。
また、実際に悪用が確認されたCVEについては、CISA KEVなどの情報をもとに、その事実を重要な判断材料として扱います。
重大度の数値だけでなく、「何が起きる可能性があるのか」「実際に悪用された情報があるのか」を確認できることが重要です。
「確定」と「要確認」を区別し、判定の根拠を明確に
Webサイトの外部診断では、取得できる公開情報に限界があります。
例えば、サーバーが公開しているバージョン情報だけでは、実際にセキュリティ修正が適用されているかを確認できない場合があります。
また、特定のOSや設定条件でのみ影響する脆弱性については、その条件を外部から確認できなければ、該当すると断定することはできません。
GUARD SAGASでは今回、確認できた脆弱性と、追加確認が必要な脆弱性を区別する表示を強化しました。
判定の考え方
- 確認済み：公開情報から対象製品・バージョンなどの必要な条件を確認できた場合
- 推定・要確認：影響を受ける可能性はあるものの、製品の詳細や実際の構成などを確認できない場合
- 確認不能：取得できる情報が不足し、判断できない場合
重大な脆弱性についても、推定段階の情報だけで確定した問題と同じ扱いにしないようにしています。
具体的には、重大な脆弱性が確定した場合は総合LEVELを最低でもLEVEL4とする一方、推定段階のCVE情報だけを理由にLEVEL4以上を強制することはありません。
これにより、必要な注意喚起を行いながら、確認できていない情報を過度に断定しない診断結果を目指しています。
PHP・CMS・Webサーバーのサポート終了（EOL）も確認
Webサイトの安全性を考えるうえで、ソフトウェアのサポート終了（EOL）も重要な確認項目です。
サポートが終了したPHPやCMS、Webサーバーなどを使い続けている場合、新たな脆弱性が発見されても、通常のサポートではセキュリティ修正が提供されないことがあります。
GUARD SAGASでは、公開情報から確認できたソフトウェアのバージョンをもとに、サポート終了状況と既知脆弱性の情報を関連付けて確認します。
今回の強化では、EOLの判定と関連するCVEの情報を診断結果に整理して表示し、問題の内容や更新の必要性を確認しやすくしました。
「古いバージョンだから注意が必要」という説明から、どのような既知の問題があり、何を確認・更新すべきなのかが分かる診断へ。
なお、OSやサーバーの提供元によっては、公開されているバージョン番号を維持したまま、セキュリティ修正が適用される場合があります。 そのため、必要に応じてサーバー管理者による内部確認をおすすめします。
診断結果の表示とPDFレポートも改善
今回の更新では、収集する情報だけでなく、診断結果の見やすさも改善しました。
重大な脆弱性が確認された場合は、診断結果の上部に重要な情報を簡潔に表示し、詳しい内容は該当する診断項目の中で確認できる構成にしています。
これにより、最初に全体の危険性を把握し、その後に必要な技術情報を詳しく確認できます。
主な表示改善
- 重大な脆弱性の注意表示を簡潔に整理
- 各診断項目にCVEの詳細情報を表示
- 影響バージョン・修正版・対応方法の表示を整理
- 脆弱性の原因と想定される影響を日本語で説明
- 確認済みと推定・要確認の違いを明確化
- PC・スマートフォンで閲覧しやすい詳細表に改善
- PDF診断レポートにも関連する詳細情報を反映
詳細診断のPDFレポートでも、重大な脆弱性の概要と、該当する診断項目の技術情報を確認できるようにしています。
診断結果を社内で共有する場合や、Web制作会社・保守担当者へ修正を依頼する場合にも活用できます。
診断結果を、具体的な改善につなげるために
セキュリティ診断で重要なのは、問題を発見することだけではありません。
何が問題なのかを理解し、実際に必要な修正や対策を判断できることが大切です。
GUARD SAGASでは、今回の機能強化により、サイト管理者が現在の状況を把握しやすくするとともに、技術担当者が具体的な対応を検討しやすい診断結果を目指しました。
危険性を知らせるだけではなく、危険性の内容を説明し、必要な対応につなげる。
GUARD SAGASは、Webサイトのセキュリティ状態を分かりやすく可視化するサービスとして、今後も診断項目や情報の精度、利用しやすさの改善を進めていきます。
まずは無料診断でWebサイトの状態を確認
GUARD SAGASでは、URLを入力するだけで基本的なセキュリティ状態を確認できる無料診断を提供しています。
より詳しい構成情報や既知リスク、AIによる解説、PDFレポートなどを確認したい場合は、詳細診断（FULL CHECK）をご利用いただけます。
Webサイトが正常に表示されていることと、セキュリティ上の問題がないことは同じではありません。
この機会に、現在のWebサイトの状態を確認してみてはいかがでしょうか。