B
今週中
Black KiteとMandiantの報告により、サプライチェーンにおける脆弱性の発見速度が加速し、可視性が不足している現状が浮き彫りになりました
📌 一言でいうと
Black KiteとMandiantの報告により、サプライチェーンにおける脆弱性の発見速度が加速し、可視性が不足している現状が浮き彫りになりました。特に、パッチがリリースされる前に攻撃が行われる「負の時間（Negative time to exploitation）」という深刻な状況が指摘されています。2025年には48,000件以上のCVEが公開されましたが、企業が自社のサプライチェーン上の位置を把握できていないことがリスクを増大させています。
🔍該当判定
- 自社で開発したソフトウェアを外部顧客に提供・販売している
- 外部ベンダーが提供する専用ソフトや管理ツールを社内サーバーにインストールして利用している
- クラウドサービス（SaaS）を導入しており、そのサービスが停止すると自社業務が完全に止まる
上記いずれにも該当しない → 静観でOK
✅該当時の対応
サプライチェーンの可視化ツールの導入、SBOM（ソフトウェア部品表）の活用による依存関係の把握、およびパッチ適用までの時間を短縮する迅速な脆弱性管理プロセスの構築を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】サプライチェーン脆弱性の可視化不足と攻撃速度の加速について
お疲れさまです。サプライチェーンセキュリティに関する最新の脅威動向について情報共有です。
■ 概要
Black KiteおよびMandiantの報告により、脆弱性の公開から悪用までの時間が極めて短縮されており、パッチリリース前に攻撃が開始される「負の時間（Negative time to exploitation）」が常態化していることが指摘されています。2025年には48,000件以上のCVEが公開されており、管理不可能な速度で脅威が増加しています。
■ 影響範囲
- サードパーティ製ソフトウェアおよびサービスを利用する全てのITインフラ
■ 対応手順
1. 自社が利用しているソフトウェアのSBOM（ソフトウェア部品表）を整備し、依存関係を可視化する
2. 脆弱性スキャンおよびパッチ適用サイクルの高速化を検討する
3. サプライヤーに対するセキュリティ基準の再確認と監査を実施する
■ 参考情報
- Black Kite 2026 Supply Chain Vulnerability Report
- Mandiant M-Trends 2026
対応優先度: 高
対応期限: 継続的な改善を推奨
お疲れさまです。サプライチェーンセキュリティに関する最新の脅威動向について情報共有です。
■ 概要
Black KiteおよびMandiantの報告により、脆弱性の公開から悪用までの時間が極めて短縮されており、パッチリリース前に攻撃が開始される「負の時間（Negative time to exploitation）」が常態化していることが指摘されています。2025年には48,000件以上のCVEが公開されており、管理不可能な速度で脅威が増加しています。
■ 影響範囲
- サードパーティ製ソフトウェアおよびサービスを利用する全てのITインフラ
■ 対応手順
1. 自社が利用しているソフトウェアのSBOM（ソフトウェア部品表）を整備し、依存関係を可視化する
2. 脆弱性スキャンおよびパッチ適用サイクルの高速化を検討する
3. サプライヤーに対するセキュリティ基準の再確認と監査を実施する
■ 参考情報
- Black Kite 2026 Supply Chain Vulnerability Report
- Mandiant M-Trends 2026
対応優先度: 高
対応期限: 継続的な改善を推奨
Subject: [Info] Acceleration of Supply Chain Vulnerability Exploitation
Dear Team,
We are sharing critical intelligence regarding the current state of supply chain security based on reports from Black Kite and Mandiant.
■ Overview
There is a growing crisis where the velocity of vulnerability discovery outpaces visibility. Notably, the 'mean time to exploit' has dropped to an estimated -7 days, meaning exploitation often occurs before a patch is officially released. Over 48,000 CVEs were published in 2025, exacerbating the risk for organizations with low supply chain visibility.
■ Scope
- All IT infrastructure relying on third-party software and services.
■ Recommended Actions
1. Implement and maintain Software Bill of Materials (SBOM) to map software dependencies.
2. Optimize vulnerability management workflows to reduce the window between discovery and mitigation.
3. Enhance security auditing and requirements for third-party vendors.
■ Reference
- Black Kite 2026 Supply Chain Vulnerability Report
- Mandiant M-Trends 2026
Priority: High
Deadline: Ongoing improvement
Dear Team,
We are sharing critical intelligence regarding the current state of supply chain security based on reports from Black Kite and Mandiant.
■ Overview
There is a growing crisis where the velocity of vulnerability discovery outpaces visibility. Notably, the 'mean time to exploit' has dropped to an estimated -7 days, meaning exploitation often occurs before a patch is officially released. Over 48,000 CVEs were published in 2025, exacerbating the risk for organizations with low supply chain visibility.
■ Scope
- All IT infrastructure relying on third-party software and services.
■ Recommended Actions
1. Implement and maintain Software Bill of Materials (SBOM) to map software dependencies.
2. Optimize vulnerability management workflows to reduce the window between discovery and mitigation.
3. Enhance security auditing and requirements for third-party vendors.
■ Reference
- Black Kite 2026 Supply Chain Vulnerability Report
- Mandiant M-Trends 2026
Priority: High
Deadline: Ongoing improvement