要約

  • WoodmanはErlang、Elixir、Gleamのエコシステムで、2026年のCVEが500件を超えると予測した。前年は約10件で、RIPE 93の案内も50倍超の増加を伝えている。
  • これから問われるのは発見数より修正の処理能力だ。Woodmanは案件の一括処理を試し、ソフトウェアを使う企業にCNAへの資金支援を求めた。

脆弱性を見つける道具が増えても、修正コードは自動では出荷されない。報告を確認し、再現し、直し、テストし、利用者に届く版を出す。Alistair WoodmanがRIPE 93のセキュリティセッションで話したのは、発見後に残るこの工程だった。

Woodmanの説明では、前年のCVEは約10件、2026年は年末までに500件を超える見通しだ。RIPEの講演ページは50倍を超える増加と記す。彼は、問題が急に生まれたのではなく、以前からあったものが見つかるようになったと述べた。ここで増えているのはCVEの記録であり、修正済みのパッケージ数ではない。

EEFのCNAは主要担当者が5人。Woodmanは、リストに載る他の4人がコミュニティ出身で、仮想マシンの中核にはEricssonの保守担当者が約15人いると説明した。CVE案件の処理とAIを使った調査の大部分は2人が担う。識別番号をつける機関と、製品のコードを直す人は同じではない。

対策として同じプロジェクトの案件をまとめ、保守担当者にまとまった時間を確保してもらう方法を試している。小刻みな割り込みを減らす狙いだが、Woodmanはまだ実験段階だと説明した。修正までの時間が短くなったという実測結果は示していない。

EEFの公開ポリシーは、報告を2営業日以内に受領・評価し、すでに公知の脆弱性は24時間以内またはそれより早く公開するとしている。Woodmanは、エコシステムに約2万のパッケージ、頻繁に使う利用者約10万人、把握している企業利用者が少なくとも5,000社いると見積もる。講演の最後には、ソフトウェアを使いながらスポンサーになっていない企業にも費用負担を呼びかけた。EEFは資金提供とボランティア調整役の参加を募っている。

出典