The OWASP Top 10は、Webアプリケーションに対する最も重大なセキュリティリスクを理解するためのゴールドスタンダードとして、長年にわたり広く認められてきました。OWASPが2025年版を公開すると、世界中のセキュリティチームが注目しました。このたび、F5 Distributed Cloud Web App ScanningがOWASP Top 10 2025を包括的にサポートするようになりました。これにより、組織にとって特に重要な脆弱性の特定と修正を支援します。
“F5 Distributed Cloud Web App Scanningは、OWASP Top 10 2025に挙げられた重大なWebアプリ脆弱性の全10カテゴリをカバーします。”
OWASP Top 10 2025の新機能
OWASP Top 10の2025年版では、Webアプリセキュリティ分野の主要ベンダーから提供された280万件を超えるアプリケーションのデータを分析し、10のカテゴリーにわたって248件の共通脆弱性タイプ一覧（CWE）を分類しています。これは、以前の版から大幅に拡充されたものです。
2025年版の更新では、進化する脅威情勢を反映し、まったく新しい2つのカテゴリーを導入するとともに、ほかのカテゴリーを統合しています。OWASPは可能な限り表面的な事象ではなく根本原因に焦点を当て、開発チームがより実践しやすいガイダンスを提供できるよう取り組んでいます。
OWASP Top 10 2025の全項目は次のとおりです。
- A01:2025 - アクセス制御の不備は、最も深刻なアプリケーションセキュリティリスクとして第1位を維持しています。テスト対象のアプリケーションのうち、平均3.73%で、このカテゴリーに含まれる40件のCWEのいずれか1件以上が確認されました。特に、2021年には第10位の独立したカテゴリーだったサーバーサイドリクエストフォージェリ（SSRF）が、今回このカテゴリーに統合されました。
- A02:2025 - セキュリティの設定ミスは、2021年の第5位から第2位に上昇しました。現代のソフトウェアエンジニアリングでは、構成に基づく動作への依存度が高まっているため、設定ミスがますます広がっています。OWASPによると、テスト対象のアプリケーションの3.00%に、このカテゴリーの脆弱性がありました。
- A03:2025 - ソフトウェアサプライチェーンの障害は、従来のリスクカテゴリー「脆弱で古くなったコンポーネント」を拡張した新しいカテゴリーです。ソフトウェアの依存関係、ビルドシステム、配布インフラストラクチャから成るエコシステム全体にわたる侵害を対象としています。テストデータでの発生件数は最も少ないものの、悪用可能性と影響度の平均スコアは最も高くなっています。
- A04:2025 - 暗号化の失敗 は2位から4位に順位を下げました。順位は変わったものの、依然として3.80%のアプリケーションに、機密データの漏えいやシステム侵害につながる可能性のある暗号化の脆弱性が見られます。
- A05:2025 - インジェクションは3位から5位に下がりましたが、依然として最も多くテストされ、関連するCVEの数も特に多いカテゴリーの1つです。このカテゴリーには、クロスサイトスクリプティングからSQLインジェクションまでが含まれます。
- A06:2025 - 安全でない設計 は4位から6位に順位を下げました。2021年に導入されたこのカテゴリーは、業界で脅威モデリングとセキュア設計の実践が広がるにつれ、顕著な改善が見られています。
- A07:2025 - 認証の失敗は順位を維持しつつ、名称が「識別と認証の失敗」からわずかに変更されました。標準化された認証フレームワークの採用拡大により、発生件数が減少しているとみられます。
- A08:2025 - ソフトウェアまたはデータの整合性の不具合引き続き第8位で、信頼境界を維持できないことや、ソフトウェア、コード、データアーティファクトの整合性を検証できないことに焦点を当てています。
- A09:2025 - セキュリティログおよびアラートの不備は、アラートを重視する名称に変更されましたが、順位は変わりません。OWASPが指摘するように、優れたログ機能があってもアラート機能がなければ、セキュリティインシデントの特定にはほとんど役立ちません。
- A10:2025 - 例外的状況の不適切な処理は、不適切なエラー処理、論理エラー、フェイルオープン、および異常な状況に起因するその他のシナリオに焦点を当てた24件のCWEを含む新しいカテゴリです。
F5 Distributed Cloud Web App ScanningによるOWASP Top 10 2025への対応
Distributed Cloud Web App Scanningは、新しいフレームワークにマッピングされた50のテストクラスにより、10の全カテゴリーをカバーします。
アクセス制御の不備、セキュリティ設定の不備、暗号化の失敗、インジェクション、安全でない設計、認証の失敗、ソフトウェアまたはデータの整合性の不備などの主要カテゴリに対し、F5のスキャナーは包括的な検出機能を提供します。
これらのカテゴリーでは、長年にわたる実環境でのスキャンを通じて改良されてきた成熟度の高いテストスイートを活用しています。また、最新版で各カテゴリーの対象範囲がどのように変化したかを反映するため、新たなテストも追加しました。たとえば、「アクセス制御の不備」には、以前は独立したカテゴリーだった「サーバーサイドリクエストフォージェリ（SSRF）」が含まれるようになりました。また、「セキュリティ設定の不備」は、設定主導型環境の複雑化に対応するため、対象範囲が拡大されています。
新しいOWASP Top 10で新設または拡張されたカテゴリの一部（Software Supply Chain Failures（A03:2025）など）は、既存の脆弱な依存関係の検出では対象外でした。そのため、サプライチェーン攻撃で攻撃者に頻繁に悪用される、パッチ未適用のシステムや設定に不備のあるコンポーネントを対象とするテストを追加しました。
Logging & Alerting Failures（A09:2025）は名称が変更されたカテゴリで、ロギングに加えてアラートも重視されるようになりました。新しいテストは、インシデントの検知を遅らせる可能性があるセキュリティイベント監視の不備を特定するのに役立ちます。
新しいカテゴリー「例外条件の不適切な処理（A10:2025）」では、エラーメッセージでの機密データの露出、カスタムエラーページの欠如、予期しないパラメーターの不適切な処理に関するテストを導入しました。これらはいずれも、アプリケーションが意図せず攻撃者に情報を漏らす一般的な要因です。
セキュリティプログラムにとって重要な理由
コンプライアンスフレームワーク、ペネトレーションテストの標準、セキュリティ評価では、OWASP Top 10が頻繁に参照されています。今回更新されたスキャナーにより、組織は現行の標準への準拠をより容易に維持できます。セキュリティレポートでは、検出結果が2025年版のカテゴリーに対応付けられるようになり、ステークホルダーへのリスク説明や、OWASPを参照するフレームワークへの準拠の実証が容易になります。
組織は、リスク修復の優先順位付けもより効果的に行えます。OWASP Top 10には、数百万ものアプリケーションのテストから得られた、実際の攻撃パターンが反映されています。これらのカテゴリーに修復作業を集中することで、チームは悪用される可能性が最も高い脆弱性に対処できます。
組織が犯罪者に先んじて、新たなリスクにプロアクティブに対処することも重要です。「ソフトウェアサプライチェーンの障害」などの新しいカテゴリーは、近年大幅に増加している攻撃ベクトルを浮き彫りにしています。テストデータは限られているものの、サプライチェーンの脆弱性は悪用可能性と影響度のスコアが最も高く、F5のスキャナーは攻撃者に悪用される前にこうしたリスクを発見するのに役立ちます。
はじめに
Distributed Cloud Web App Scanningをご利用中のお客さまは、スキャン結果に反映される更新版OWASP Top 10 2025のマッピングを自動的に利用できます。設定変更は不要です。通常どおりスキャンを実行し、新しいフレームワークに基づいて分類された検出結果をご確認ください。
オンプレミス環境で運用している組織向けに、OWASP Top 10 2025の完全なテストスイートを含む更新済みDockerイメージをご用意しています。
Distributed Cloud Web App Scanningを初めてご利用になる場合は、動的アプリケーションセキュリティテストによってセキュリティ体制をどのように強化できるかを評価する絶好の機会です。F5のスキャナーは、包括的な脆弱性検出とフルマネージドSaaSプラットフォームの使いやすさを兼ね備えており、従来の動的アプリケーションセキュリティテスト（DAST）ツールに伴う運用負荷を抑えながら、セキュリティチームによるアプリケーションの保護を支援します。
F5 Distributed Cloud Web App Scanningと、そのOWASP Top 10 2025対応機能の詳細については、製品ページをご覧いただくか、F5のチームにお問い合わせのうえ、デモをご予約ください。
著者について
関連するブログ記事
F5 Distributed Cloud CDN：アプリを高速化、ワンクリックで有効化、コストを削減
F5 Distributed Cloud CDNなら、既存のセキュリティポリシーを変更することなく、ワンクリックでアプリを高速化し、オリジンの負荷とエグレスコストを削減して、コンバージョンを向上できます。
F5 BIG-IP v21.1を先行紹介：AIセキュリティ、PQC、ソフトウェアの機能強化
F5のBIG-IP v21.1がAIセキュリティとPQC対応への準備をどのように実現するかをご紹介します。
新しいAI AssistantでGuardrailsを高度化し、セキュリティを強化
F5の新しいAI Assistantは、AI Guardrailのカスタムスキャナー機能に直接組み込まれています。この機能により、企業はGenAIを活用して、自社固有のユースケースや独自のリスクプロファイルに沿ったポリシーを作成し、標準搭載の保護機能を超える対策を実現できます。
EU AI Actへの準拠がより容易に
AIシステム全体でEU AI Act、特に最も重大な禁止事項を運用に落とし込むには、どうすればよいのでしょうか。GenAIを導入するチームにとって、Article 5の「禁止されるリスク」に関する規定への対応には特有の課題があります。操作的な行為、生体認証による監視、ソーシャルスコアリングなど、最も重大な違反の多くは、従来のセキュリティツールでは容易に検出できないためです。F5のAI […]
AIレッドチームに欠けているものと、その改善方法
レッドチーミングは長年にわたり、企業セキュリティの要となってきました。しかし生成AIに関しては、多くの組織が新たな脅威環境に旧来の手法を適用しています。静的なプロンプトテスト、単発の監査、CLIベースのツールでは明らかな不具合を発見できる場合もありますが、導入後の生成AIシステムの挙動が持つ現実世界の複雑さを捉えられることはほとんどありません。 […]
欧州連合の人工知能法
AIが国際ビジネスのあり方を変える中、欧州連合の人工知能法（EU AI Act）は、AI技術の進化における重要な節目となっています。27か国で法制化されたこの重要な規制枠組みは、AIの利用を予定するあらゆる企業や組織に影響を及ぼし、AIシステムのあり方を形作ることになります。[…]