リリースサイクルの短縮：F5で何が変わり、どのような対応が必要か

Kunal Anand最高製品責任者 | F5

編集者注（2026年8月13日）： 急速に変化する脅威環境においてお客さまをより適切に保護するため、セキュリティリリースの頻度と情報開示プロセスを更新しました。Kunal Anandの最新のブログ記事をご覧ください。組織を保護するための最新情報をご確認いただけます。

編集者注（2026年10月14日）： F5では、「hardened releases」を「critical releases」と呼ぶようになりました。この用語変更は、これらのリリースの重要性と、最新バージョンをできるだけ早く導入することの重要性を反映したものです。

先日、F5がフロンティアAIモデルを活用して自社コードの脆弱性を発見し、修正している方法をご紹介しました。より多くの問題を迅速に発見するだけでは、取り組みの半分にすぎません。残りの半分は、その修正を同じ速さでお客さまに届けることです。四半期ごとのリリースサイクルは、今とは異なる時代を前提に構築されたものです。パッチ適用までに許される時間が事実上逆転した現在、四半期ごとのリリースではもはや十分ではありません。

AIは最終的に、防御側を優位にすると考えています。しかし現時点では、攻撃側が優位です。攻撃者は、ほとんどの組織がパッチを適用するよりも速く、発見された脆弱性から実際に機能するエクスプロイトへと移行できます。以下の変更は、修正と導入を迅速化し、そのバランスを防御側へと戻すための第一歩です。

これらの変更は、独自の判断だけで行ったものではありません。数か月にわたり、世界でも最大規模かつ最も複雑なインフラストラクチャを運用し、極めて重要な経路でF5を利用しているお客さまの声に耳を傾け、そこから学んできました。F5はその声を真摯に受け止め、それを踏まえてアプローチを見直しています。

リリースサイクルの変更点

お客さまとチームの皆さまに知っていただきたい重要な変更点が2つあります。

1. 強化版ソフトウェアを毎月リリースする方式に移行します。 強化版ソフトウェアは、7月15日以降、毎月第3水曜日にリリースされます。

各リリースには、幅広い修正が含まれます。これらの修正は、AIスキャン、その検出結果を詳しく調査する過程で明らかになった問題、社内チームや外部の研究者から報告された問題、さらにF5独自のセキュリティと安定性の強化によるものです。最先端モデルの進化に伴って問題の発見も加速し続けるため、各リリースに含まれる問題の数は今後増えていきます。

常に最新リリースを使用することを推奨してきましたが、今ほどそれが重要な時期はありません。重大度が「Critical」の問題に限らず、これらのリリースを可能な限り速やかに導入することを強く推奨します。業界全体で、攻撃者は重大度が「Low」または「Medium」の脆弱性を組み合わせて新たなエクスプロイトを生み出す能力を高めています。そのため、個々の修正の重大度だけでは、その重要性を判断しにくくなっています。すべてのリリースを、重大なセキュリティ上の欠陥を解消するものとして扱ってください。

各リリースに含まれる個別の修正については、開示する詳細情報を限定します。これらのモデルが持つ能力を踏まえ、お客さまがパッチを適用できるようになる前に、攻撃者が脆弱性を特定し、それを悪用するエクスプロイトを作成するための手引きとなる情報を提供することはありません。

2. 四半期ごとのセキュリティ通知を、月次のセキュリティ通知に変更します。前月の強化版リリースで修正された脆弱性について、月次でセキュリティ通知を発行する予定です。ただし、法律、契約、協調的開示の義務、政府機関との調整、進行中の悪用、重要性の評価、情報公開の猶予期間、またはお客さま保護上の考慮事項により別の対応が必要となる場合は、時期、内容、通知方法を柔軟に調整します。初回は8月19日に発行し、7月15日のリリースを対象とします。

この遅延は意図的なものです。追加情報が公開される前にアップデートを適用できる期間を確保するためです。緊急性の高い脆弱性情報を直ちにお知らせする必要がある場合は、今後も月次のスケジュールとは別にセキュリティアラートを発行します。

強化リリースとセキュリティ通知を月次で提供する体制への移行後も、F5は引き続き以下を提供します。

• メンテナンスリリース（F5 BIG-IP、F5 BIG-IQ、F5OS、F5 NGINX）：最近のCVE修正をまとめたバグ修正、小規模な機能、安定性の向上と不具合の修正に重点を置いた機能強化が含まれます。
• メジャーリリース（BIG-IP、BIG-IQ、F5OS）：製品ロードマップのマイルストーンに合わせて、新機能、モジュール、ケイパビリティ、およびコアセキュリティアーキテクチャの改善を提供します。
• 年次長期安定版リリース（NGINX）は、一貫性と長期サポート期間を重視する組織に安定した基盤を提供します。
• エンジニアリングホットフィックス（EHF）お客さまへの影響に応じて必要な場合にリリースされ、直ちに修正が必要な緊急の問題に対処します。

今すぐできること

リリース頻度を高めているベンダーは、F5だけではありません。業界全体でパッチの提供頻度が高まるにつれ、担当チームは、より多くのベンダーから、より多くのアップデートを、より頻繁に適用する必要があります。これは運用上の大きな負担です。F5は、その負担を増やすのではなく、軽減することに取り組んでいます。

今すぐできること：

• F5 Insight for ADSPを導入する。F5はフリート管理に重点的に投資しており、近日中にアップデートを提供する予定です。これらの機能はF5 Insightを通じて提供されるため、今すぐ導入することで、現在の状況を可視化し、フリート管理が利用可能になった際に活用できるよう準備を整えられます。
• BIG-IP環境全体のアップデートを自動化。 F5の自動化機能とRed Hat Ansibleコレクションを活用することで、手作業の負担を増やすことなく、より頻繁なセキュリティリリースに対応できます。
• F5 Professional Servicesにご相談ください。お客さまの環境に合わせて自動化された低リスクの更新プロセスを設計し、更新頻度の向上を負担ではなくメリットに変えるために、F5が支援します。

F5が提供するもの

更新頻度が高まることで、お客さまにもより多くのご対応をお願いすることになります。これらの変更を展開し、今後の状況に適応していく中で、F5がどのように取り組むかをご説明します。

• お客さまを守ることを最優先します。お客さまの最も重要な処理経路を支えているという責任を念頭に、あらゆる変更に取り組みます。
• 脆弱性を迅速に発見して修正するため、必要なあらゆるリソースを投入します。 お客さまに安心して製品をご利用いただけるよう、専用のインフラストラクチャを構築し、全社からエンジニアリングリソースを結集しました。
• F5は今後も、透明性、責任ある情報開示、セキュリティコミュニティとの連携に取り組んでまいります。 開示が遅れることは、開示を控えることではありません。この新たな脅威環境に皆で適応していく中で、F5はお客さま、研究者、最先端のAIラボと引き続き協力してまいります。
• お客さまのニーズや脅威の変化に応じて、今後も適応を続けます。現時点では、この頻度が適切です。四半期ごとの頻度を見直したときと同じ規律に基づき、状況の変化に応じて再び見直します。

私たちが直面している現実は、脆弱性の発見に役立つあらゆる技術の進歩を、攻撃者も利用できるということです。F5はこの状況に備え、問題を発見して修正し、可能な限り迅速にパッチをお届けできるよう、インフラストラクチャ、ツール、運用体制を整えてきました。この取り組みを緩めることはありません。ともにこの状況に対応していく中で、皆さまのご協力に感謝いたします。

脆弱性への対応方法について詳しくは、F5の「脆弱性開示ポリシー」をご覧ください。各強化リリースの詳細は、準備が整い次第公開します。また、この新しいリリース頻度についてご不明な点や対応に関するサポートが必要な場合は、いつでもF5 Supportにお問い合わせください。

著者について

Kunal Anand最高製品責任者 | F5

Kunal Anandは、最高製品責任者としてF5の製品部門を率いています。製品のビジョン、戦略、実行を統括し、重要な課題を解決して優れた顧客体験を生み出す画期的なソリューションの開発を推進しています。前職の最高技術・AI責任者としては、F5のテクノロジーおよびAIに関する戦略とビジョンを策定しました。 F5入社以前は、Impervaで最高技術責任者と最高情報セキュリティ責任者を兼任していました。2013年に共同創業したアプリケーションセキュリティのスタートアップPrevotyが2018年に買収されたことを機に、Impervaに加わりました。Prevoty以前は、BBC Worldwideでテクノロジーディレクターを務めました。イノベーションと技術分野で豊富な実績と専門知識を有し、Gravity、MySpace、NASA Jet Propulsion Labでは、セキュリティ、データ、テクノロジー、エンジニアリングの各チームを率いる役職を歴任しました。 AIと機械学習の分野で15年以上の経験を持ち、モデルのトレーニング、AIを活用したアルゴリズムによる製品強化、AIアーキテクチャの設計と実装に携わってきました。 Babson Collegeでコンピューターサイエンスの理学士号を取得しています。

Kunal Anandのその他のブログ記事