要約

  • 10月30日のEEF公式CVE索引には、2026年の日付を持つ記録が370件、2025年が9件あった。公開記録は約41倍になったが、修正件数やAIが見つけた件数を示す数字ではない。
  • Alistair WoodmanはRIPE 93で、2026年はCVEが500件を超えると予測した。発見の後には、メンテナーが問題を確かめ、コードを直し、修正版を検証する工程が残る。

記録は増える。修正までの時計は公開されていない。

Erlang Ecosystem Foundationの機械可読CVE索引は、10月30日08:59 UTC時点で、公開日が2026年の記録を370件掲載していた。2025年分は9件だ。公開記録の数は約41倍だが、影響を受けたパッケージのうち何件が検証済みの修正版を出したか、メンテナーが修正に何日かけたかは索引から読めない。

Woodmanが予測を示したのは、その3日前、RIPE 93のSecurity Working Groupだった。EEFはElixir、Erlang、Gleamのパッケージを2万件以上対象にしているという。彼は、常用者を約10万人、財団が把握する企業ユーザーを少なくとも5,000社と見積もった。前年のCVEは約10件で、2026年は500件を超える見込みだと語った。負荷は50倍になるという。AI支援の解析で見つけやすくなっただけで、脆弱性は以前から存在していたというのが彼の説明だ。

EEFはCVE Numbering Authorityで、Security Working Groupが対象プロジェクトの識別子付与と情報公開の調整を担う。Woodmanによれば、チームの責任者は5人で、そのうち2人がCVE対応とAIの調査の大半を受け持つ。ツールは短時間で問題を挙げる。報告が本当の脆弱性か見極め、コードを直し、版を公開し、修正が効いたか確かめるのはメンテナーだ。

ここから先は記録件数だけでは安全の結果を測れない。Woodmanは、プロジェクトごとに報告をまとめて処理する方法をEEFが試していると話した。問題が見つかるたびにメンテナーを呼び出すのでなく、時間を確保して一群を片づける。発見は並列化できても、修正はそのコードを知る人の時間から離れない。

EEFの公開ポリシーは、報告を2営業日以内に受領確認し、確認後2営業日以内に有効性と影響を評価すると定める。対象のHexパッケージに関する非公開の脆弱性では、メンテナーが14日以内に返答しなければCNAはCVEを公開する。調整付きの情報公開は最長3か月だ。受付と公開の期限はあるが、発見から修正版公開までの日数は測っていない。

EEF索引が記録するのは、CVE識別子、タイトル、説明、公開日と更新日だ。個別のメンテナー応答、修正版の版番号、検証までの時間は公開されない。修正記録があれば、開示の増加と同じ速さで実際のリスクが減ったか判断できる。

EEFの理事を務めるWoodmanは、このエコシステムを使う企業にセキュリティ活動への資金支援も呼びかけた。数千の組織がオープンソースの恩恵を受け、少数のセキュリティ担当者とメンテナーが対応作業の多くを担う。公開CVEは警報になる。次に知りたい数字は、修正を含む版が出た日だ。

出典：RIPE 93の講演ページ、公式トランスクリプト、EEFのCNA紹介、対象範囲、セキュリティポリシー、CVE索引、理事一覧。