AI が、広く使われるソフトウェア部品（コンポーネント）の脆弱性を見つけ始めました。Google の AI のエージェント（Big Sleep） は SQLite の脆弱性を、Google の AI で作ったテスト（OSS-Fuzz） は OpenSSL の脆弱性を見つけています。日本政府も、2026 年 5 月の Project YATA-Shield で、より高速かつ大量に脆弱性が発見・修正されることを前提に対策を強めるよう求めています。
では、1 つの部品の脆弱性は、どこまで広がるのでしょうか。編集部は、IT連携マップのセキュリティ情報の依存関係の一覧（製品 64・コンポーネント 8・依存関係 72 本）で、依存関係をたどって数えました。冒頭の図は、影響を受けうる製品とコンポーネントを、名前で全部並べたものです。名前の色は分類です。
答えは、1 つの部品の脆弱性が、多くの製品に広がりうる、です。OpenSSL の脆弱性では 20、SQLite では 16、Brotli では 13、PHP と Chromium では 11 の製品とコンポーネントが影響を受ける可能性があります。だから、製品の名前だけでなく、下位のコンポーネントまで一覧にし（ソフトウェア部品表＝SBOM）、コンポーネントの発表も集めて、AI と脆弱性管理ツールで照合します。技術者のいない中小企業は、まず IT連携マップのセキュリティ情報 の技術の関連図で、自社に関係する技術を確かめてください（5 節）。
この記事は、IT連携マップ（renkeimap.jp）の調査ページ コンポーネントの脆弱性は、いくつの製品に影響するか をもとにした Qiita 版です。数え方と、影響を受けうる製品の一覧は、調査ページに置いています。前回の調査 脆弱性の情報は日本語で何日後に読めるか では、脆弱性を「いつ知るか」を測りました。この記事は、1 つの脆弱性で「どこまで影響を受けるか」を数えた続きです。
1. 問いと答え
| 問い | 答え |
|---|---|
| なぜ今、コンポーネントの脆弱性が問題になるのか？ | 1 つの製品はたくさんの部品を含み、使っているので、1 か所の部品の脆弱性で、関係する製品すべてに対策が要るからです。AI が SQLite や OpenSSL の脆弱性を見つけ始め、国も SBOM（ソフトウェア部品表）での確認を進めています。 |
| 1 つの部品の脆弱性は、どこまで広がるのか？ | 依存関係をたどると、OpenSSL の脆弱性では 20、SQLite では 16、Brotli では 13、PHP と Chromium では 11 の製品とコンポーネントが影響を受ける可能性があります。これは確かめる対象の数で、全部が影響を受けたという数ではありません。 |
| 1 つの製品は、いくつの部品とつながっているのか？ | ロリポップ! の下位のコンポーネントは 9、WordPress は 7、Windows 11 は 4 です。Windows 11 と Slack の下位には、どちらも Chromium と SQLite があります。 |
| 中小企業は、自社に関係する技術をどう確かめればよいのか？ | IT連携マップのセキュリティ情報 の技術の関連図で、使っている技術を選びます。関係するコンポーネントと発表が出て、メールや RSS でも受け取れます。 |
| ソフトウェアを作る会社は、何をすればよいのか？ | 製品と、下位のコンポーネントまで一覧にし（SBOM）、コンポーネントの発表も集めて照合します。2026 年 10 月の PHP の脆弱性では、TKC と Chatwork がサービスを止めて直しました。 |
この記事で使う言葉
言葉は、経済産業省の「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0」に合わせています。
| 言葉 | 意味 |
|---|---|
| コンポーネント（ソフトウェア部品） | 製品に含まれたり、製品が使ったりするソフトウェア。例：OpenSSL（暗号）・SQLite（データベース）・Brotli（圧縮）・Chromium（ブラウザ） |
| 依存関係 | 製品がコンポーネントを含む・使う関係 |
| 推移的依存関係 | 製品 X がコンポーネント Y を含み、Y がコンポーネント Z を含むとき、X が Z も含む関係 |
| 下位のコンポーネント | 製品が直接使うコンポーネントの中に含まれ、間接的に使われるコンポーネント |
| ソフトウェア部品表（SBOM） | コンポーネントと、それらの依存関係の一覧。SBOM は Software Bill of Materials の略 |
| 依存関係の一覧 | IT連携マップのセキュリティ情報が持つ、製品とコンポーネントの依存関係の一覧。依存関係 1 本ずつに、提供元の文書の出典がある |
2. なぜ今、コンポーネントの脆弱性が問題になるのか？
図は、AI が広く使われるコンポーネントの脆弱性を見つけた例と、国の前提を並べたものです。
| 誰が | 何をしたか |
|---|---|
| Google Project Zero の Big Sleep（AI のエージェント） | SQLite の脆弱性を見つけた。正式版に入る前に直ったので、利用者に影響はなかった |
| Google の OSS-Fuzz（AI で作ったテスト） | OpenSSL の脆弱性（CVE-2024-9143）を見つけた。9 月 16 日に報告し、10 月 16 日に修正が出た。約 20 年あった可能性が高い |
| 日本政府の Project YATA-Shield（2026 年 5 月） | より高速かつ大量に脆弱性が発見・修正されることを前提に、対策を強めるよう求めた |
政府は、セキュリティ対策のために、ソフトウェア部品を SBOM（ソフトウェア部品表）で確かめる方法を進めています。経済産業省は SBOM の導入の手引をまとめ、脆弱性リスクの低減が見込まれると書いています。国家サイバー統括室も、2026 年 11 月 5 日の注意喚起で、ソフトウェア構成情報と照合して影響を速やかに特定するよう求めました。
なぜなら、1 つの製品は、たくさんの部品を含み、使っているからです。どこか 1 か所の部品に脆弱性が見つかれば、その部品を含む・使う製品は、全部対策が要ります。AI が見つける脆弱性が増えれば、確かめる製品も増えます。
編集部も、自社の 3 つの npm パッケージで SBOM を作ってみました。package.json に直接書いた部品は 15・5・10 個なのに、部品表には 275・101・473 個が並び、驚きました（開発・ビルドの道具を含む）。
技術者のいる会社なら、SBOM を全面的に作って照合できます。しかし、技術者のいない中小企業は、自社がどの技術を使っているかさえ分かりません。もっと簡単に、ざっくり確かめる方法はないでしょうか。
そこで編集部は、IT連携マップのセキュリティ情報で選べる製品 64 と、それらが含む・使うコンポーネント 8 の依存関係 72 本を、提供元の文書を出典に一覧にして、たどってみました。含む・提供する・使うの 48 本を確実な依存関係として数え、「多くの場合に使う」「どちらかを使う」は点線で描きました。では、1 つの部品の脆弱性は、どこまで広がるのでしょうか。
3. 1 つの部品の脆弱性は、どこまで広がるのか？
図は、上位 5 のコンポーネントから、脆弱性の影響が及ぶ製品とコンポーネントまでを、矢印でつないだ関連図です。矢印の向きに影響が及び、間に何段あってもたどりました（推移的依存関係）。円の数字は、影響を受けうる製品とコンポーネントの数です。たとえば SQLite の脆弱性は、Chromium を経由して Chrome・Edge・Slack・Windows 11 などに、WebKit を経由して Safari・macOS・iOS / iPadOS に及びます（合わせて 16）。
| コンポーネント | 影響を受けうる数 | 確実な依存関係だけ | 影響を受けうる製品の例 |
|---|---|---|---|
| OpenSSL（暗号） | 20 | 10 | nginx・Apache・Node.js・Debian・Ubuntu・レンタルサーバー |
| SQLite（データベース） | 16 | 14 | Chromium・Safari・iOS・Windows 11・Microsoft 365 |
| Brotli（圧縮） | 13 | 12 | PHP・LiteSpeed・レンタルサーバー |
| PHP | 11 | 10 | WordPress・EC-CUBE・レンタルサーバー・業務のクラウドサービス |
| Chromium（ブラウザ） | 11 | 9 | Chrome・Edge・Edge WebView2・Electron のアプリ・Android |
影響を受けうる製品とコンポーネントの全部の名前は、調査ページの一覧にあります。影響を受けうる数は、確かめる対象の数です。全部が影響を受けたという数ではありません。たとえば nginx の HTTPS の機能は、既定では組み込まれません。一方で、依存関係の一覧に無い製品は数えていないので、実際に影響を受けうる製品はもっと多くあります。では、1 つの製品は、いくつの部品とつながっているのでしょうか。
4. 1 つの製品は、いくつの部品とつながっているのか？
図は、よく使う製品から、下位のコンポーネントまで依存関係をたどった関連図です。円の数字は、下位のコンポーネントの数です。Windows 11 と Slack の下位には、どちらも Chromium と SQLite があります。
| 製品 | 下位のコンポーネント |
|---|---|
| WordPress | 7（PHP・MySQL・MariaDB・Apache・nginx・OpenSSL・Brotli） |
| ロリポップ! | 9（PHP・MySQL・nginx・Apache・LiteSpeed・BoringSSL・LSQUIC・Brotli・OpenSSL） |
| エックスサーバー | 5（PHP・MariaDB・nginx・OpenSSL・Brotli） |
| Windows 11 | 4（Edge・Edge WebView2・Chromium・SQLite） |
| Slack | 3（Electron・Chromium・SQLite） |
レンタルサーバーの PHP は事業者が直しますが、WordPress のプラグインやテーマは使う側が確かめます。ロリポップ！ も、PHP の脆弱性への対応のあと、WordPress 本体だけでなく、プラグインやテーマも最新か確かめるよう求めました。レンタルサーバーが PHP を直すときのメンテナンスは、IT連携マップの稼働状況で、事業者ごとに見られます。1 つの製品は、たくさんの部品とつながっています。製品の名前だけの一覧では、下位のコンポーネントの脆弱性に気づけません。では、中小企業は、自社に関係する技術をどう確かめればよいのでしょうか。
5. 【利用者・IT 担当向け】自社に関係する技術を、どう確かめるか？
図は、編集部が運営する IT連携マップのセキュリティ情報 の「技術の関連図」で、WordPress を選んだ画面です（2026 年 11 月 8 日・立場は「IT 担当」）。
中小企業の方に関係する情報を絞り込むために、編集部は技術の関連図を作りました。自社に関係する技術がないか、ぜひ確かめてください。無料で使えます。
- 使っている技術を選ぶと、その技術が含む・使うコンポーネントが線でつながります。WordPress を選ぶと、PHP・nginx・Apache・MySQL・MariaDB がつながりました。円の数字は掲載中の件の数で、赤い輪は「今すぐ」か「今日中」の件があるしるしです。
- PHP の下の「他 2 件」を押すと、その先の OpenSSL と Brotli を開きます。矢印の向きに、脆弱性の影響が及びます。
- 円を押すと、その技術に関係する件の一覧が、図の下に出ます。図では、WordPress の 6 件が急ぐ順に並んでいます。件を押すと、立場ごとにすることと期限を読めます。
技術をまだ選んでいないときは、立場によく関係する技術と、今すぐ・今日中の件がある技術を表示します。
毎日見に行かなくても、選んだ技術の新しい件を、メールとブラウザの通知（ログインは無料・登録は不要）や RSS で受け取れます。AI エージェントには、MCP の https://renkeimap.jp/mcp（アカウントも鍵も不要）の renkeimap_security に技術の名前を渡すと、関係する件を読ませられます。英語の発表の日本語の要約と、立場ごとにすることは AI が作っていて、掲載の前に人は見ていません。
この記事を、ふだん使っている AI にも共有して、自社の場合はどうすればよいか聞いてみてください。では、ソフトウェアを作る会社は、何をすればよいのでしょうか。
6. 【ベンダー向け】実際に、多くの製品が影響を受けたか？
ソフトウェアを作る会社（ベンダー）にとって、コンポーネントの脆弱性は、自社の製品を止めて直す理由になります。図は、2026 年 9〜10 月に、1 つのコンポーネントの脆弱性で多くの製品が影響を受けた 3 つの例です。
| コンポーネント | 何が起きたか |
|---|---|
| PHP（CVE-2026-109618・10 月 21 日） | TKC は一部のサービスを一時休止し、Chatwork はサーバーのメンテナンスを行った。エックスサーバー は PHP に修正パッチを当てた |
| Brotli（CVE-2026-111497・10 月 22 日） | JPCERT/CC は、組み込んだ製品は多岐にわたり、Node.js・Bun・Python 向けの Brotli パッケージなどが影響を受けると書いた。「HTTP2Shell」とも呼ばれた |
| Chromium（CVE-2026-87491・9 月） | 悪用された脆弱性が、Chrome だけでなく Microsoft Edge の更新でも直った |
JPCERT/CC が挙げた Node.js と Brotli の依存関係は、依存関係の一覧にまだありません。一覧の数は、実際より少なく出ます。コンポーネントの名前で発表が出ても、使っている製品の名前は出ないことがあります。TKC と Chatwork が止まった時間は、IT連携マップの TKC・Chatwork の稼働状況のページでも見られます。PHP の脆弱性で業務システムが止まった時間は、調査ページ 予防的な停止とは — 業務システムは何時間止まったか にまとめています。では、ベンダーは、下位のコンポーネントまで、どう見張ればよいのでしょうか。
7. 【ベンダー向け】下位のコンポーネントまで、どう見張るか？
図は、下位のコンポーネントまで一覧にし、コンポーネントの発表も照合する 4 つの手順です。
| 順 | すること |
|---|---|
| 1 | 製品と、下位のコンポーネントまで一覧にする。買った製品は、提供元に SBOM やコンポーネントの一覧を求める |
| 2 | 製品の発表だけでなく、コンポーネントの発表も集める。影響を受けうる製品が多いコンポーネント（OpenSSL・SQLite・Brotli・PHP・Chromium）から |
| 3 | コンポーネントの件を構成情報と照合し、影響を速やかに特定する。AI や脆弱性管理ツールで自動化する |
| 4 | 自社で作るソフトウェアは、SBOM を作って渡す |
経済産業省は、SBOM を「ソフトウェア部品表」とも呼び、脆弱性リスクの低減が見込まれると書いています。製造業者が製品ごとに SBOM を構築・管理し、使う側が利用できるようにすることも奨励しています。国家サイバー統括室は、2026 年 11 月 5 日の注意喚起で、ソフトウェア構成情報と照合し、脆弱性管理ツールを活用するよう求めました。
経済産業省は、中小企業を含むあらゆる企業が SBOM を使える方法の検討を続けています。国の Project YATA-Shield は、ソフトウェアを作る会社に、セキュア・バイ・デザインの原則に基づいて高性能 AI も活用するよう求め、守る側にも、高性能 AI を積極的にサイバー防御に活用するよう求めています。
8. もっと詳しく知るには
| 知りたいこと | 読むところ |
|---|---|
| 数え方・影響を受けうる製品の全部の一覧 | 調査ページ コンポーネントの脆弱性は、いくつの製品に影響するか |
| 使っている製品とコンポーネントの脆弱性の発表 | IT連携マップのセキュリティ情報 |
| 業務システムの稼働状況・障害・メンテナンス | IT連携マップの稼働状況 |
| 業務システムの API と連携の仕様 | システム一覧・連携ツール一覧 |
| 脆弱性の情報は、日本語で何日後に読めるか | 調査ページ 脆弱性の情報は日本語で何日後に読めるか |
| AI で守りの何を変えるか | 調査ページ AI を使った攻撃は AI でしか守れないのか |
一次出典・参考文献
| 資料 | 発表元 | リンク |
|---|---|---|
| From Naptime to Big Sleep（Big Sleep が見つけた最初の実例） | Google Project Zero | projectzero.google |
| Leveling Up Fuzzing: Finding more vulnerabilities with AI | Google Security Blog | security.googleblog.com |
| AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について ～Project YATA-Shield～（2026 年 5 月 18 日） | 内閣官房 国家サイバー統括室ほか関係省庁 | cyber.go.jp |
| 2026 年 11 月 5 日の注意喚起 | 内閣官房 国家サイバー統括室 | cyber.go.jp |
| ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0 の公表 | 経済産業省 | meti.go.jp |
| Brotli の脆弱性（CVE-2026-111497）に関する注意喚起 | JPCERT/CC | jpcert.or.jp |
| Microsoft Edge のセキュリティ更新のリリースノート | Microsoft | learn.microsoft.com |
| ngx_http_ssl_module | nginx | nginx.org |
| mod_ssl | Apache HTTP Server | httpd.apache.org |
| sql/README.md | Chromium | chromium.googlesource.com |
| Electron の文書 | Electron | electronjs.org |
引用した原文は、2026 年 11 月 8 日に取り直した原本で確かめています。1 行ずつの原文と出典、依存関係 72 本の出典は、調査ページ コンポーネントの脆弱性は、いくつの製品に影響するか と IT連携マップのセキュリティ情報 で公開しています。
読者アンケート実施中
このテーマをもっと深掘りしてほしい方は、記事に「いいね」をお願いします。「いいね」の多いテーマから順に追加調査し、結果は新着記事でお知らせします（フォローしていただくと通知が届きます）。
【転載OK】本記事の転載について
本記事の文章・図表は、すべて転載 OK です。図は加工しないままお使いください。転載の際は、出典として、この記事の完全版 『コンポーネントの脆弱性は、いくつの製品に影響するか』（renkeimap.jp）へのリンクをお願いします。事前の連絡は不要です。
※ 筆者は日立系ITベンダー・介護ソフトベンダー・大学病院IT部門を経て独立し、現在は中小企業のIT・DX支援をしながら、業務システムの「つながり」を一次資料で調べています。 文中の「編集部」は、筆者が所属する IT連携マップ編集部 のことです。誤りを見つけられましたら 訂正窓口（無料・アカウント不要）へお願いします。訂正履歴も公開しています。
