脆弱性 とは？

バグは「プログラムが意図通りに動かない問題」全般を指すけど、脆弱性はその中でも「セキュリティ上の悪用ができる欠陥」に絞った言葉だよ。

例えばパスワードを確認せずにログインできてしまう処理や、入力値をそのまま実行してしまうコード、古いバージョンの暗号方式を使っているライブラリなど色々あるよ。

ソフトウェアのメーカーや開発者が修正プログラム（パッチ）を作って配布するから、ユーザー側はそれを速やかに適用するのが基本だよ。「アップデートは面倒」と後回しにしていると、その間に攻撃されるリスクがあるんだ。

そう、CVE（Common Vulnerabilities and Exposures）という世界共通の識別番号だよ。「CVE-2024-1234」みたいな形で、どの脆弱性かを一意に特定できる。セキュリティ情報を調べるときに使う番号だよ。

「責任ある開示（Responsible Disclosure）」というルールがあって、まず開発者やメーカーに非公開で報告して修正の時間を与えてから公表するのが一般的な倫理とされてるよ。いきなり公開すると修正前に悪用されてしまうからね。企業によっては発見報告に報奨金（バグバウンティ）を出す制度も広まってるんだ。