本分析は、2020年1月1日から12月31日までのランサムウェア、エクスプロイトキット、フィッシング攻撃、またはリモートアクセストロイの木馬と脆弱性の同時発生に焦点を当てています。コードリポジトリ、地下フォーラムの投稿、ダークウェブサイトなど、数千の情報源を分析しました。これは、私たちの 2019年の報告書であり、対象対象は情報セキュリティ実践者、特に脆弱性リスク評価を支援する者です。

Executive Summary

本レポートは、あらゆる業界における悪用事例や、複数の種類のマルウェアとの関連性に基づき、2020年に最も悪用された脆弱性を重点的に取り上げています。2015年の報告書開始以来初めて、Adobe製品の脆弱性がリストに掲載されなかった。これは、2015年に発表された最初の報告書とは対照的だ。最初の報告書では、悪用された脆弱性の上位10件のうち8件がAdobe製品に関するものだった。

2019年と同様に、Recorded FutureはMicrosoft製品を標的とした主要な脆弱性の大部分(10件中7件)を観察しました。目立つ違いの一つは、これらの脆弱性のうちInternet Explorerを標的としたのは1つだけであり、2019年には4つと比べて大幅に増加しています。また、2020年特有のものとして、新規脆弱性のリリース数はパンデミック開始後の2020年3月に 最初に減少 しました。最終的に、2020年には18,000件以上の新たな脆弱性が特定されました。

確認された脆弱性の総数は減少したものの、今年影響を受けた製品の多様性は、例年と比べて際立っている。世界中の従業員が在宅勤務に移行したことで、自宅待機を余儀なくされた労働者に対する新たな搾取の機会が生まれた。そのため、CitrixのApplication Delivery Controller（ADC）、PulseSecureのPulse Connect、OracleのWebLogicといった製品が、初めて対象製品としてリストに掲載された。

リストにさらに多くの製品が追加されたことは、公式の データベースや従来のスキャンツールでさえ、組織に重要な指標、つまり 使用しているシステムと、脅威アクターによって積極的に悪用されているシステムとの重複度を教えることができないことを示しています。 過去 1 か月または 1 年以内に武器化された脆弱性は 1% 未満であることが多いため、脆弱性を適切に優先順位を付けてパッチを適用するには、武器化に関する洞察が必要です。 そのため、セキュリティ専門家は、企業の技術スタックに影響を与える脆弱性のうち、エクスプロイトキットに含まれているもの、ランサムウェアやリモートアクセス型トロイの木馬（RAT）の配布に使用されているもの、あるいは現在フィッシング攻撃に使用されているものを把握しておくことが不可欠です。

主な判断

- トップ10の脆弱性のうち7つがMicrosoft製品を標的としており、これは2019年および過去の報告と同様です。
- Internet Explorerを対象とした1つのCVEのみがトップ10に入っており、2019年の4つと比べて大幅に増加しています。
- Adobe Flash Playerは2020年12月に公式にサービス終了を迎えたため、主なターゲット技術にはAdobe製品が含まれていません。
- Citrix、PulseSecure、Oracleは、年間トップエクスプロイトリストで標的技術として初めて登場しました。
- 2020年パッチチューズデーのトップ10にランクインしたトップ10の脆弱性のうち、CVE-2020-1472、CVE-2020-0796、CVE-2020-0674。 このレポートには、パッチチューズデーで最も多く悪用されたCVEも含まれています。
- 2019年のトップ10リストから繰り返し表示された脆弱性はCVE-2017-11882とCVE-2012-0158の2つのみです。両脆弱性は2016年から2019年の間にUS-CERTの悪用された脆弱性トップ10に掲載されています。