Project Zeroが開示期限を90→60→30日に段階短縮へ──AI時代の“パッチ・ギャップ”に向き合う現実です

今日の深掘りポイント

• Google Project Zeroが脆弱性開示ポリシーを改定し、2026年は90日、2027年に60日、2028年に30日へ段階短縮すると発表です。
• ねらいは「パッチのギャップ」を詰めること──修正公開からユーザー環境への適用までの遅延を含め、脆弱性の有効寿命を短くする設計です。
• AIによる発見・悪用の加速を前提に、従来の90日中心（いわゆる“90+30”延長慣行を含む）を見直す産業的シグナルです。
• 期限短縮は、パッチ提供のSLO短縮と、配布・適用・検証の自動化（ラストマイル）の同時最適化を各社に強く要請します。
• 開示短縮は「公開直後のN-day量産攻撃」を前倒しする副作用もあり、SOCの観測・緩和・仮想パッチの即応性が決定打になります。
• 高い信頼性と実現可能性が見込まれる一方、組込み・アプライアンス・OTなど長いリリース列の領域では運用衝撃が大きく、リスク移転やSLA再設計がカギです。

はじめに

Project Zeroが2026年版の脆弱性開示ポリシーを公表し、開示までの猶予を段階的に短縮するロードマップを示しました。背景には、AIの関与で脆弱性の発見と悪用が加速し、従来前提の“90日で安全”という神話が崩れている現実があります。発表は、単に発見側のルール変更にとどまらず、サプライチェーン全体のパッチ提供と普及のSLO/OKRを引き下げる圧力として機能します。政策・レギュレーションにも波及しうる転換点として、国内のCISOとSOCマネージャーは「期限の短縮＝運用の再設計」を即時に議題化すべき局面です。

出典・詳細はProject Zeroの告知を確認ください（英語）:

• Project Zero: Policy and Disclosure: 2026 Edition（発表原文）: https://projectzero.google/2026/11/disclosure-policy.html

深掘り詳細

事実：今回の発表の骨子とスケジュール

• 開示までの標準期限を段階短縮
  • 2026年：報告から90日で開示です。
  • 2027年：60日に短縮です。
  • 2028年：30日に短縮です。
• 目的は、修正の迅速化と「パッチのギャップ」縮小です。修正を出すだけでなく、利用者の環境に届くまでの時間差を現実的に縮めることを意図します。
• 背景認識として、AIによる発見・悪用の高速化が強調されています。攻撃側の“時間優位”が広がる中、開示猶予を短くすることで防御側の反応時間を確保する設計です。
• 従来の90日ベースを起点に、いわゆる“90+30”延長慣行を見直す方向性が示唆されています。開示後の詳細公開・PoC化・量産Exploitの時間軸を短くすることで、ベンダー側に前倒しの修正と普及を促します。

出典: Project Zeroの当該発表を参照ください。

インサイト：期限短縮がもたらす産業的・運用的インパクト

• 「短い開示＝安全」ではなく「安全に至る工程の圧縮」です
  • リードタイム短縮は、発見→修正→テスト→配布→適用→検証の各段で律速が移る構造的問題をあぶり出します。特にラストマイル（配布と適用）がボトルネックの場合、開示短縮は“公開からの無防備露出”を前倒しにするため、運用整備がないと逆風になります。
• ベンダーの“リリース列”の差が顕在化します
  • クラウド/ブラウザ/モバイルの継続配信型は順応しやすい一方、アプライアンス・エンドポイント・ドライバ・ファームウェア・OT/IoTは、検証と配布に時間がかかる構造です。期限短縮はテスト自動化、セーフガード（段階配信・ロールバック）の内製能力を問います。
• N-day攻撃の前倒しという副作用を前提化すべきです
  • 開示短縮は、PoC公開やパッチDiffを起点とするN-day量産に直結します。SOCは“公開当日からの観測・防御”を前提に、仮想パッチ/WAF/IPSと検知シグネチャ適用までのSLOを定義する必要があります。
• ガバナンスと調達の再設計が避けられません
  • サプライヤーSLAに「クリティカル修正のターンアラウンド」「配布機構の到達率」「適用エビデンス」を盛り込み、規制準拠や顧客説明責任まで含めた“パッチの証跡化”を契約要件に織り込む段階です。
• メトリクス観点の総括
  • 信頼性・確度が高く、変化は現実的な時間軸で来るテーマです。一方で即応性と実行可能性は組織差が大きく、移行期のリスクは増減両面を持ちます。短期の運用負荷上振れを飲み込める組織だけが、中長期の攻撃面縮小の果実を得られる構図です。

脅威シナリオと影響

以下は、今回のポリシー変更を前提に「何が起きやすくなるか」を仮説として描いたシナリオです。MITRE ATT&CKの観点は例示であり、すべてのケースに当てはまるものではありません。

• シナリオA：公開直後のN-day量産攻撃

  • 兆候
    • 開示当日〜数日のPoC共有、パッチDiffによるExploit作成が急増します（仮説）｡
  • 攻撃チェーン（例）
    • 偵察 T1595 Active Scanning
    • 初期侵入 T1190 Exploit Public-Facing Application／T1203 Exploitation for Client Execution
    • 権限昇格 T1068 Exploitation for Privilege Escalation
    • 横展開 T1210 Exploitation of Remote Services／T1021 Remote Services
    • データ流出 T1041 Exfiltration Over C2 Channel
    • 影響 T1486 Data Encrypted for Impact
  • 影響
    • インターネット露出資産やVPN/ゲートウェイ等の境界装置で、公開から数時間〜数日の侵害ピークが立ちやすくなります（仮説）｡

• シナリオB：不完全パッチの迂回（Patch Bypass）

  • 兆候
    • 期限短縮で修正が増える一方、境界条件や旧バージョンで迂回が見つかるケースが増える恐れがあります（仮説）｡
  • 攻撃チェーン（例）
    • 能力開発 T1587 Develop Capabilities（Exploit開発）
    • 情報収集 T1592 Gather Victim Host Information（ビルド/バージョン特定）
    • 回避 T1211 Exploitation for Defense Evasion（パッチ回避の悪用）
  • 影響
    • “修正済み”の安心感の裏で、バージョン分岐や設定差異を突かれ、SOCの検知ロジックが置き去りになるリスクがあります。

• シナリオC：ラストマイル遅延を狙う段階的侵入

  • 兆候
    • 配布は済んだが適用率が伸びきらない環境で、狙い撃ちのフィッシングや水飲み場攻撃が組み合わさります（仮説）｡
  • 攻撃チェーン（例）
    • 初期侵入 T1566 Phishing（適用保留のクライアントを狙う）
    • 外部サービス悪用 T1133 External Remote Services（未更新VPN等）
    • 正規アカウント悪用 T1078 Valid Accounts（適用遅延でパスワードポリシーも未更新）
  • 影響
    • 技術的な脆弱性対応の「数％の未適用層」が、組織全体の侵入リスクを支配する“長い裾野”になります。

総じて、公開の前倒しは攻撃者の行動を「より速く・より広く」する方向に傾けます。防御側は“公開当日からの観測と緩和”を既定運用に昇格させる必要があります。

セキュリティ担当者のアクション

期限が短くなる世界では、戦術の切替えよりも“配布と適用の機械化”が勝敗を分けます。優先度順に、現場で効く打ち手を挙げます。

• SLOの再定義
  • 重大度×露出度に応じた内製SLOを再設定し、公開からの「検知更新」「仮想パッチ適用」「本パッチ適用」「適用検証」を時系列で明文化します。概念ではなく、分単位・時単位の運用値で管理します。
• アセットと露出の常時可視化
  • インターネット露出資産、境界装置、リモート接続点を日次で棚卸しし、開示と同時にスキャン→ブロックルール→監視を自動着火します。EASM/ASM的な外形監視を標準運用に織り込みます。
• 仮想パッチと段階配信の二本立て
  • WAF/IPSの仮想パッチ、EDRの振る舞いブロック、コンフィグ緩和（機能停止・一時的認証強化）を“当日ワークフロー”で適用し、本パッチはリング配信とロールバック計画で安全に広げます。
• PoC公開前提の検知高速化
  • 公開からのIOC/TTP取り込みSLOを短縮し、攻撃面に近いテレメトリ（境界ログ、クラッシュレポート、例外イベント）を優先監視します。特に公開後24〜72時間のサージ監視を常設します。
• サプライヤーSLAと証跡の更新
  • 重大度定義、修正ターンアラウンド、配布カバレッジ、適用証跡（デバイス別適用可否）の提供を契約に明記し、監査対応の標準化を進めます。レガシー製品には代替コントロール前提のリスク移転を設計します。
• テスト自動化とセーフリリース
  • 互換性リスクが高いクライアント／ドライバ系は、回帰テスト自動化とカナリア配信を整備し、短い期限下でも品質とスピードを両立します。
• 組織内コミュニケーションの先回り
  • 経営層には「期限短縮で短期負荷が上振れする合理的理由」を説明し、業務側には適用ウィンドウや一時的機能制限の影響を平易に周知します。CSIRT通達はテンプレート化して分単位で打てる状態にします。
• 重要ユースケースの“常設シナリオ”化
  • 境界装置のRCE、ブラウザ/メールクライアントのリモートコード実行、特権昇格（LSA/カーネル）、ドメイン昇格の4系統は、仮想パッチ→本パッチの定型レシピをあらかじめ用意します。

最後に、今回の改定は「開示を早めるから安全」ではなく、「安全に至るまでの非機能を磨け」という、攻守の現実解を突きつけるものです。速度が正義になるほど、人の判断を減らす“よい自動化”が勝ち筋になります。読者の皆さんの現場に、今日から落とし込める1手を必ず積み増していきます。

参考情報

• Project Zero: Policy and Disclosure: 2026 Edition（発表原文）: https://projectzero.google/2026/11/disclosure-policy.html