it-service@brocent.com
パッチ管理
2026年8月の対象期間における、管理対象環境のOSおよびサードパーティ製ソフトウェアのパッチ適用状況、脆弱性エクスポージャー、是正の適時性。
OSのパッチは完全に適用済み。残るリスクはサードパーティ製ソフトと再起動待ち
管理対象38台すべてが、合意済みのメンテナンス時間帯内に8月のWindowsおよびmacOS累積更新を適用しました。期末時点でセキュリティ分類のOSパッチに未適用はなく、重要更新の平均適用日数は6.4日から4.1日へ短縮しています。
残存リスクは2か所です。6台が再起動待ちの状態にあり、適用済みと報告されていてもメモリ上では未修正のコードが動作しています。また、サードパーティ製アプリケーションの脆弱性が4つのソフトウェアにまたがって41件未解決で、うち1件 — ブラウザエンジンの不具合 — はCISAの既知の悪用された脆弱性（KEV）カタログに掲載されています。いずれも変更枠を取らずに9月中に対応可能です。
期末時点のパッチ状況
更新がインストールされ、必要な再起動まで完了している場合にのみ、そのデバイスを適用済みとして計上します。サードパーティ対応率は、検出されたソフトウェアのうちパッチエンジンが自動更新できるものの割合です。
対応が必要な4件
根拠。 CISA KEVカタログに掲載されているブラウザエンジンのメモリ破損の不具合が、3台のエンドポイントに存在します。ベンダー修正版は配置・検証済みですが、ブラウザを完全に終了しデバイスを再起動して初めてインストールが完了します。
影響。 実際に悪用が確認されており、当環境で侵害に至る可能性が最も高い単一の経路です。改ざんされたページを開くだけで成立します。
推奨対応。 今週中に、取引時間外での強制再起動を3台に対してご承認ください。BCS Support Center は24時間前に利用者へ通知し、実施後に修正版であることを確認します。
根拠。 6台のエンドポイントで更新は適用済みですが再起動待ちです。連続稼働時間は2台が14日、1台が30日を超えています。利用者が再起動の要求を繰り返し延期しています。
影響。 脆弱なコードを実行したまま適用済みと報告されるため、経営層に対しても、環境をサンプリングする監査人に対しても、適用率を過大に見せることになります。
推奨対応。 延期の上限を7日とし、現地時間02:00に強制再起動する運用を、依頼ベースではなくポリシーとして適用します。
根拠。 PDFリーダー、圧縮ユーティリティ、マーケットデータ端末、Web会議クライアントの4つで、未解決41件のうち34件を占めます。3つはパッチエンジン非対応、端末はベンダー更新のみです。
影響。 パッケージング作業を行うかソフトウェアを入れ替えるまで、これらは毎期繰り返し指摘事項として残り続けます。
推奨対応。 非対応の3つを自動配信用にパッケージ化し、マーケットデータ提供元とはベンダー主導の更新時間帯を合意します。
根拠。 614件の配信のうち5件が初回で失敗しました。3件はディスク空き容量不足、2件はダウンロード中のネットワーク断です。いずれも同一時間帯内の再試行で成功しています。
推奨対応。 配信前に空き容量12GBのチェックを追加し、閾値を下回る場合にアラートを出すことで、最も多い失敗要因を取り除きます。
7月時点で104件あった未解決の脆弱性は41件まで減少しました。前期に累積更新が60日以上遅れていると報告した2台は最新化され、macOS群は2026-08-19にサポート対象のメジャーリリースへ移行しました。
5項目中4項目のサービスレベルを達成
| 約定サービスレベル | 目標 | 実績 | 判定 | 備考 |
|---|---|---|---|---|
| 重要OSパッチの配信 | リリースから7日以内 | 平均4.1日 | MET | 38台中38台 |
| 期末時点のOSパッチ適用率 | 98%以上 | 100% | MET | 未適用のセキュリティパッチなし |
| サードパーティ重要脆弱性の是正 | 14日以内 | 21日（1ソフト） | MISSED | 再起動の承認待ち |
| メンテナンス時間帯の遵守 | 100% | 100% | MET | 取引時間中の配信なし |
| 月次レポート発行 | 第5営業日まで | 第3営業日 | MET | 2026-09-03発行 |
3期間の推移
| 指標 | 2026年6月 | 2026年7月 | 2026年8月 | 推移の方向 |
|---|---|---|---|---|
| OSパッチ適用率 | 94.6% | 97.4% | 100% | 3期連続で改善し、目標を上回る。 |
| 平均適用日数（重要） | 8.9日 | 6.4日 | 4.1日 | リング配信の定着により6月から半減。 |
| 未解決の脆弱性 | 147 | 104 | 41 | 計画どおりバックログを消化。残りは4ソフトに集中。 |
| 既知の悪用（KEV） | 2 | 1 | 1 | 横ばい — 残る1件に必要なのはパッチではなく再起動。 |
| 再起動待ち | 3 | 4 | 6 | 増加傾向。利用者による延期にポリシー上の上限が必要。 |
| サードパーティ対応率 | 68% | 73% | 82% | ソフトの自動化パッケージ化に伴い改善。 |
バーは未解決41件を基準にスケールしています。ここでの深刻度はベンダーのCVSS区分であり、指摘事項で用いる運用上の深刻度とは異なります。
残るエクスポージャーの所在
41件の個別項目は、12台のデバイス上で118インスタンスとして現れています。是正計画を左右するのは個別項目数、配信工数を左右するのはインスタンス数です。両者が異なる箇所では常に双方を明記しています。
期限はベンダーのリリース日ではなく、CVSS区分ごとに合意した是正期間に従います。期限超過6件はすべて、自動パッチの対象外である4ソフトに属します。
32件はベンダー修正版があり、BCSが次の時間帯で配信できます。ベンダー依存の9件はすべてマーケットデータ端末のもので、提供元自身の更新が必要です。
41件のうち27件が直近2年に公開されたもので、パッチ適用が行き届いた環境として想定どおりのプロファイルです。2024年より前の6件はすべてパッケージ化待ちの2ソフトにあり、ここでの古さは判断の遅れではなく対応範囲の欠落を示します。
バーは最大台数（12）を基準にスケールしています。残る6台の合計は55インスタンスで、いずれも8件以下です。Criticalの3インスタンスは、いずれも同一の既知悪用ブラウザ項目です。
バージョンの乱立
同一アプリが環境内で異なるバージョンで動作していることが、脆弱性が繰り返し発生する最大の要因です。ソフトごとに単一バージョンへ統一すれば、ドリフトを根本から解消できます。
| アプリケーション | バージョン数 | インストール数 | 統一のための対応 |
|---|---|---|---|
| PDFリーダー | 4 | 31 | 現行リリースをパッケージ化し、31台すべてを強制アップグレード。 |
| ブラウザ（Chromiumエンジン） | 3 | 38 | 遅れている3台を再起動。残りは自動更新で解消。 |
| Web会議 | 3 | 38 | 管理対象インストーラーを強制し、旧ビルドへの固定を防止。 |
| 圧縮ユーティリティ | 2 | 24 | OS標準機能へ置き換え、ソフト自体を廃止。 |
| Javaランタイム | 2 | 4 | 依存しているレガシーツールとともに廃止。 |
ソフトウェア別の脆弱性
期末時点で未解決の脆弱性を抱えるすべてのソフトウェアです。CVE単位の完全な一覧は、機械可読形式のエクスポートとして別途納品します。
| ソフトウェア | インストール | 未解決 | 最高深刻度 | 自動化 | 状況 |
|---|---|---|---|---|---|
| ブラウザ（Chromiumエンジン） | 3 | 4 | CRITICAL | 可 | 修正版は配置済み、再起動の承認待ち。KEV項目を含む。 |
| PDFリーダー | 31 | 12 | HIGH | 不可 | パッチエンジン非対応。パッケージ化を進行中。 |
| マーケットデータ端末 | 17 | 9 | HIGH | ベンダー | 更新はベンダー管理。実施時間帯を調整中。 |
| 圧縮ユーティリティ | 24 | 8 | MEDIUM | 不可 | OS標準機能への置き換え候補。 |
| Web会議 | 38 | 5 | MEDIUM | 可 | 自動更新が有効。次回クライアント起動時に解消。 |
| Javaランタイム | 4 | 3 | LOW | 可 | レガシーツール1件のために保持。削除を提案。 |
対応が必要なデバイス
| ホスト名 | 拠点 | OSビルド | 最終適用 | 連続稼働 | 未解決 | 再起動 | 対応 |
|---|---|---|---|---|---|---|---|
| ACM-WS-004 | 香港 | 26100.7920 | 2026-08-14 | 34日 | 7 | 待ち | 02:00に強制再起動 |
| ACM-WS-011 | 香港 | 26100.7920 | 2026-08-14 | 19日 | 6 | 待ち | 02:00に強制再起動 |
| ACM-WS-019 | 深圳 | 26100.7920 | 2026-08-15 | 11日 | 5 | 待ち | 2026-09-06に予定 |
| ACM-WS-022 | 深圳 | 26100.7920 | 2026-08-15 | 9日 | 4 | 待ち | 2026-09-06に予定 |
| ACM-WS-027 | 香港 | 26100.7920 | 2026-08-16 | 8日 | 4 | 待ち | 2026-09-06に予定 |
| ACM-WS-033 | 香港 | 26100.7920 | 2026-08-16 | 7日 | 3 | 待ち | 2026-09-06に予定 |
| ACM-SRV-01 | 香港 | 20348.2966 | 2026-08-17 | 17日 | 2 | 不要 | 次回2026-09-20 |
配信実績
| 配信リング | デバイス | パッチ | 成功率 | 実施時間帯 |
|---|---|---|---|---|
| リング0 — パイロット | 3 | 48 | 100% | 2026-08-13、20:00–23:00 HKT |
| リング1 — バックオフィス | 14 | 231 | 99.6% | 2026-08-14、20:00–01:00 HKT |
| リング2 — フロントオフィス | 18 | 298 | 98.7% | 2026-08-16、土曜日中 |
| サーバー | 3 | 37 | 100% | 2026-08-17、日曜02:00–05:00 |
期をまたいで繰り越される未解決項目
| 番号 | リスク | 深刻度 | 担当 | 期限 | 状況 | 次のアクション |
|---|---|---|---|---|---|---|
| PATCH-R01 | 既知の悪用がある脆弱性が環境内に存在 — 3台が再起動待ち | CRITICAL | クライアントIT | 2026-09-09 | 未着手 | 時間外の強制再起動を承認。BCSが修正版であることを確認。 |
| PATCH-R02 | 利用者による再起動延期が実際の適用率を覆い隠す — ポリシーに延期上限なし | HIGH | BCS + クライアントIT | 2026-09-15 | 対応中 | 7日の上限と02:00の強制再起動を適用。 |
| PATCH-R03 | 自動化対象外のサードパーティ製ソフト — 脆弱性が繰り返し発生する源 | MEDIUM | BCS Support Center | 2026-10-15 | 対応中 | 3ソフトをパッケージ化。端末はベンダーと実施時間帯を合意。 |
| PATCH-R04 | 緊急パッチ手順が文書化されていない — ゼロデイ対応が場当たり的 | MEDIUM | BCS + クライアントIT | 2026-11-30 | 未着手 | 事前承認を織り込んだ1ページの臨時パッチ手順を作成。 |
| PATCH-R05 | ディスク空き容量不足による配信失敗 — 3台が空き12GB未満 | LOW | BCS Support Center | 2026-10-31 | 未着手 | 配信前の空き容量チェックとアラートを追加。 |
次期のコミットメント
| BCS Support Center の対応 | クライアントへのお願い |
|---|---|
| KEV項目を解消し、3台すべてで修正済みブラウザバージョンを確認する。 | 2026-09-08までに時間外の強制再起動を承認する。 |
| 再起動延期の7日上限を環境全体に適用する。 | エンドポイントポリシーで延期上限を承認する。 |
| PDFリーダーと圧縮ユーティリティを自動パッチ用にパッケージ化する。 | 圧縮ユーティリティを継続利用するか置き換えるかを決定する。 |
| 空き容量の事前チェックを追加し、配信失敗を原因別に報告する。 | マーケットデータベンダーの技術担当者をBCSに紹介する。 |
本レポートの作成方法
| データソース | 抽出日時 | レコード数 | 用途 |
|---|---|---|---|
| RMMパッチエンジン | 2026-09-01 02:15 HKT | 配信614件 | 配信結果、適用状態、再起動フラグ。 |
| 脆弱性評価 | 2026-09-01 03:40 HKT | 未解決41件 | ソフトウェア別・深刻度別の未解決脆弱性。 |
| CISA KEVカタログ | 2026-09-01 | 該当1件 | 既知の悪用のフラグ付け。 |
| Windows Update for Business | 2026-09-01 | 33台 | OSビルドの検証とリング割当。 |
| 変更・チケット記録 | 2026-08-31 | 変更9件 | メンテナンス時間帯の遵守、再試行、承認。 |
手法と定義
パッチ適用率は 期末の7日以上前にリリースされたセキュリティ分類の更新がすべてインストールされ、必要な再起動も完了している場合にのみ、そのデバイスを適用済みとして数えます。再起動待ちのデバイスはそのパッチについて未適用として計上しており、これはベンダーツール自身のレポートより厳しい基準です。
平均適用日数は 社内で承認した日ではなく、ベンダーのリリースから環境内でインストールが成功するまでで測定します。
深刻度。 指摘事項の深刻度は運用およびデューデリジェンス上のリスクを表します（Critical 24時間、High 5営業日、Medium 次サイクル、Low バックログ）。セクション06の脆弱性の深刻度はベンダーのCVSS区分です。2つの尺度は意図的に分離しており、同一列で混在させることはありません。
対象外。 ファームウェアおよびBIOSの更新は別の変更プロセスで扱い、ネットワーク機器のファームウェアは可用性モニタリングレポートで報告します。個人所有の非管理端末は対象外です。
本書は説明用に匿名化したサンプルです。顧客名、ホスト名、ソフトウェアベンダー名は架空または一般的な名称に置き換えています。件数、比率、日付、指摘事項は代表的な管理環境を反映したものです。実際の顧客データは一切含まれていません。
BCS Support Center · it-service@brocent.com
本レポートについて、よくいただくご質問
当社のコミットメントは、重要なOSパッチがベンダーリリースから14日以内、セキュリティパッチが30日以内です。レポートではデバイス種別ごとに達成状況を示し、未達となったデバイスはすべて理由とともに明記します。
担当者、代替統制、失効日を伴う文書化された例外として扱います。失効日のない例外は、例外ではなく指摘事項として報告します。
はい。ブラウザ、ランタイム、PDFリーダー、コラボレーションクライアントも同じサイクルで適用し、個別に報告します。OSのパッチが行き届いた環境では、これらが最も多い侵入経路になるためです。
御社のパッチ管理レポートに何が書かれるかを見る
無料ITヘルスチェックでは、御社の実環境に対して本レポートの初版を作成します。費用も、その後の契約義務もありません。期間は約1週間、御社チームのお時間は数時間程度です。