11月3日、Cloudflareが「Introducing Zero Wire, a hub for investigating critical Internet vulnerabilities」と題した記事を公開した。重大なインターネット脆弱性の調査を支援する公開情報ハブ「Zero Wire」のリリースを発表する内容だ。
重大なCVEが公開された朝、セキュリティチームは複数のベンダーアドバイザリを読み比べ、自社システムへの影響を確認し、経営層からの問い合わせに対応しながら、次の開示に備えなければならない。NVD（National Vulnerability Database）やCVSSスコアは脆弱性の「深刻度」を教えてくれるが、「自社のどのシステムが影響を受けるか」「今すぐ何をすべきか」は教えてくれない。Zero Wireはこのギャップを埋めることを目的とした脆弱性インテリジェンスフィードだ。
NVDとは異なる「対応ナビゲーター」という設計思想
Cloudflare Radar 上で公開されたZero Wireは、ニュース通信社のような形式で重大CVEの情報を整理し、Cloudflareの顧客かどうかにかかわらず無償で利用できる。
Zero WireはすべてのCVEを網羅するカタログを目指していない。対象はインターネットに公開されたソフトウェア内の重大なCVEに絞られている。具体的にはWebアプリケーション、それが依存するランタイムやライブラリ、インターネットに露出したサービスなどだ。
設計の核心にあるのは「深刻度（severity）」と「実際の悪用の証拠（exploitation evidence）」を別物として扱うという方針だ。CVSSスコアが高くても実際には悪用困難なケースと、スコアが中程度でも積極的に悪用されているケースでは、対応の優先度が逆転することがある。この区別を明示することが既存の脆弱性DBとの大きな違いとなっている。
なおAIによる大規模コードベース解析の普及で、人間のレビューでは長年発見されなかった深いレイヤーの欠陥が表面化するケースが増えており、脆弱性開示の頻度と速度は今後も上がり続けると見られている。Zero Wireはこうした状況への回答でもある。
「要対応」と「参照」の2分類で優先度を明示
Zero Wireのトップページでは、各脆弱性がカード形式で表示される。カードは「Needs attention（要対応）」と「Reference（参照）」の2カテゴリに分類される。
- Needs attention: 既知の悪用事例がある、または対応ガイダンスが進行中のもの
- Reference: 対応指針が安定したもの。ただし未パッチのシステムが残っている組織には依然として重要な情報となる
CVEの識別子や技術タグで検索でき、関連する複数のCVEをまとめた1件のブリーフィングとして提供される場合もある。
各ブリーフィングは以下の要素で構成される：
- 概要（Overview）: 何が起きたか、なぜ注目すべきか、どのチームが調査すべきか
- 今すぐ行うこと（What to do now）: 影響を受けるデプロイの特定、バージョン確認、ベンダーアップデートの適用、不審なアクティビティのレビューなど具体的な次のステップ
- 証拠と外部リンク: CVEレコード、調査報告、CISAの既知悪用脆弱性カタログ（KEV）などへのリンク
- 更新履歴（Update chronology）: 新たなアドバイザリや対応ガイダンスの変更を時系列で記録
AIエージェント向け「影響評価プロンプト」を同梱
各ブリーフィングには、自社インフラへの影響を評価するための事前構築済みプロンプトが付属する。このプロンプトをAIエージェントに貼り付けるだけで、デプロイ済みソフトウェアの読み取り専用評価、ベンダー修正の適用状況確認、補完的コントロールの評価などを実行できる。プロンプト自体がシステムをスキャンしたり変更したりするわけではないが、「何を調べるべきか」という調査の出発点を明示的に提供することで、担当者の調査時間を短縮できる設計になっている。
情報を「読む」だけでなく、「対応に使う」ところまでサポートする形になっている点は、従来の脆弱性DBにはない特徴だ。
Cloudflareのトラフィックデータで攻撃者の関心度を可視化
ブリーフィングには、Cloudflareのネットワーク上で観測されたトラフィックデータが追加される場合がある。たとえばPHPファイルをWebシェルとして悪用する攻撃手法に関連するCVE群を扱ったブリーフィングでは、Cloudflare WAFのマネージドルールにマッチするHTTPリクエストの量を時系列グラフで確認できる。
この数値は「侵害されたシステムの数」でも「悪用に成功した件数」でもなく、特定の脆弱性に対する攻撃者の関心度の目安として提供されるものだ。WAFルールによる緩和策が利用可能な場合、そのルールが有効かどうかの確認リンクも提供される。ただしリンクをクリックしても自動的にルールが有効化されるわけではなく、WAF設定を確認して保護状況を判断するよう促すにとどまる。WAFによる緩和はあくまでも補完的な対策であり、脆弱なソフトウェア自体を修正するベンダー指示に従うことが前提だ。
詳細はIntroducing Zero Wire, a hub for investigating critical Internet vulnerabilitiesを参照していただきたい。
