脆弱性管理ソリューション「FutureVuls」、高リスクなOSSを検出・評価する新機能を追加
フューチャー株式会社
ソフトウェアサプライチェーン全体の健全性を一元管理
フューチャー株式会社（本社：東京都品川区、代表取締役社長：谷口友彦、以下フューチャー）は、脆弱性管理ソリューション「FutureVuls（フューチャーバルス）」をアップデートし、利用中のOSS（オープンソースソフトウェア）の健全性を客観的な指標で評価する「ソフトウェアヘルス」機能などを2026年6月3日より追加しました。FutureVulsは本アップデートにより、既知の脆弱性（CVE※1）の検知・対応に加え、OSSの開発元によるメンテナンス状況を継続的に評価し、ソフトウェアサプライチェーン全体の健全性を一元的に管理するプラットフォームとしての機能を強化します。
[画像1:
https://prcdn.freetls.fastly.net/release_image/4374/838/4374-838-84acb4ce1c6609fc016d237181f060a6-2400x1350.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
新機能「ソフトウェアヘルス」：OSSの健全性を客観スコアで可視化
これまで脆弱性管理は、検知した個々の脆弱性（CVE）をCVSSでスコアリングし対応する手法が一般的でした。しかし検知される脆弱性件数の増加や、サイバー攻撃の高度化、さらには脆弱性管理の前提となる公的データベースの運用変更(※2)など、企業のセキュリティをとりまく環境は急速に変化しています。脆弱性管理においてもソフトウェアサプライチェーン全体の健全性に対する継続的な評価と、リスクに対して実効性あるガバナンスの構築が求められています。
フューチャーでは、新たに注目すべき要素として、開発元から公式にサポート終了（EOL）宣言がないまま長期間メンテナンスが行われていないOSSへの対応が重要と考えています。当社が実稼働環境のOSS約1万6千件を独自に分析した結果では、約10%が公式にEOLの状態にあり、さらに約50%が開発停滞または実質的なEOLの状態にあります(※3)。これらはセキュリティパッチ等のサポートが提供されないうえ、OSSを含むシステム間の依存関係に潜むリスクを把握するにはCVEによる検知だけでは難しいのが実情です。今後のセキュリティガバナンスには脆弱性の検知・対応だけでなく、OSSの健全性の継続的な評価を統合的に扱う「ソフトウェアサプライチェーンの健全性管理」が不可欠と考え、今回の大幅な機能強化を実施しました。
[画像2:
https://prcdn.freetls.fastly.net/release_image/4374/838/4374-838-d6a24c1fffc30aa509d0caffe244ba42-2400x1300.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
実稼働環境のOSS約1万6千件の分析結果（フューチャー調べ・2026年）
■ 本アップデートの主な内容
FutureVulsでは2025年11月よりリポジトリのアーカイブ化や非推奨（deprecated）化などサポート終了が宣言されたOSSを検知・一元管理する機能を提供しています。今回のアップデートでは、明確な終了宣言がないOSSの健全性評価やSBOM対応など、ソフトウェアサプライチェーンのリスク管理を担うプラットフォームとしての機能を拡充しました。
[画像3:
https://prcdn.freetls.fastly.net/release_image/4374/838/4374-838-413585c7ba0c619cb4c3451667c7057d-3200x1784.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
FutureVulsの仕組み：集約→評価→判断→対応を一つのサービスで
1. OSSの健全性評価：ソフトウェアヘルスの可視化と「実質的EOL」の検知
管理画面上で各OSSのメンテナンス状況や推奨アクションなどを表示し、「確定EOL（EOL-Confirmed）」、「実質的EOL（事実上の開発停止）」を客観データから判定できます。あわせて、公式EOLの判定を一次情報に基づいて見直すことで精度を向上しました(※4)。「実質EOL」の判定には、当社が開発したOSSのライフサイクルを複数の段階で自動分類するオープンソースツール「uzomuzo-oss」(※5)を使用しています。
2. ライブラリの依存関係を可視化
ライブラリの依存関係を「直接依存／間接依存」で判別できるようにしました。間接依存のOSSに脆弱性がある場合に、どの直接依存ライブラリを更新すれば解消できるかという依存元情報を画面上で逆引きでき、対応方針の検討にかかる調査工数を削減します。
3. 情報源の拡大：欧州（EUVD／ENISA KEV）などへの対応
脆弱性の情報源として欧州のEUVD（EU Vulnerability Database）を新たに取り込み、2026年9月11日に施行されるサイバーレジリエンス法（CRA）の脆弱性報告義務への対応準備を支援します。あわせて、脅威情報の取り込み対象として、既存のCISA KEV／VulnCheck KEVに欧州のENISA KEVを追加しました。
4. SBOM対応強化：非公開EOL情報の登録と、対応ツールを問わないSBOMの取り込み
ソフトウェア部品表（SBOM）の実運用とリスク評価での活用に向けて、endoflife.dateなどのオープンソースデータベースに掲載されていない自社製品や商用ソフトのEOL情報を、組織ごとに非公開のまま登録・一元管理できるようにしました。標準仕様（CycloneDX／SPDX）に準拠していれば、FutureVulsが公式に対応していないツールで生成されたSBOMも取り込み可能です。
フューチャーは今後もFutureVulsの機能向上に取り組むとともに、オープンソースでの技術公開や研究成果の発信を続けてまいります。客観的なデータに基づく「ソフトウェアサプライチェーンの健全性管理」の実現を通じてあらゆる組織のセキュリティレベル向上に貢献します。
■ FutureVuls とは
FutureVulsはOS・ミドルウェアからライブラリまで含めた幅広いシステムの脆弱性に対し、検知・情報収集・対応判断・タスク管理・パッチ適用といった脆弱性管理の一元化と自動化を可能にするソリューションであり、GitHub上に無償で公開している「Vuls」のエンタープライズ向け商用版です。
「FutureVuls」はフューチャー株式会社の登録商標です。製品サイト：
https://www.vuls.biz/
※1．共通脆弱性識別子「CVE」（Common Vulnerabilities and Exposures）により特定・公開された脆弱性。
※2．米国国立標準技術研究所（NIST）は2026年4月、国家脆弱性データベース（NVD）の運用をリスクベースへ転換し、2026年3月1日より前に公開された未補足のCVE（共通脆弱性識別子）を「Not Scheduled（補足予定なし）」と分類すると発表。優先的に情報が補足される対象は、米サイバーセキュリティ・インフラセキュリティ庁（CISA）が公開する、悪用が確認された脆弱性のカタログ（KEV）等に絞られた。
米商務省監察総監（OIG）の報告書では、NVDの未処理脆弱性が2024年6月の約1万3千件から2025年末に2万7千件超へ拡大したこと、重大度スコアが独立した評価と一致した割合が約12%にとどまったことが指摘されており、単一の情報源のみに依存した脆弱性管理の限界が明らかになっている。
※3．実稼働環境のOSSコンポーネント約1万6千件に対する独自調査の詳細。
https://www.vuls.biz/software-supplychain/eol-risk
※4．健全性評価は対象パッケージの最新安定版を基準としており、サーバ内で検知した個別バージョンそのものに対する評価ではありません。
※5. uzomuzo-oss:
https://github.com/future-architect/uzomuzo-oss
uzomuzo の手法について、CVE ProgramとFIRST（Forum of Incident Response and Security Teams）が共催する脆弱性管理の国際カンファレンス「FIRST VulnCon 2026」（2026年4月、米国アリゾナ州）で発表を行いました。
https://www.first.org/conference/vulncon26/program
セッション名：The CVE Blind Spot: Defeating “Hidden EOLs” and Repo Jacking with Engineering Triage & Code Diet）。登壇者には「Vuls」作者である神戸康多が含まれます。
※6. 本文中の会社名・製品名は、各社の商標または登録商標です。
＜参考プレスリリース＞
脆弱性管理ソリューション「FutureVuls」、EOL ソフトウェアの管理機能を大幅強化
法規制強化に対応し、サプライチェーンリスクの可視化と一元管理を実現
https://www.future.co.jp/press_room/PDF/PressRelease_FutureVuls_260113.pdf
脆弱性管理ソリューション「FutureVuls」生成 AI を搭載しIT インフラ全体の管理効率向上を実現
LLM 活用により脆弱性情報や攻撃事例、対処法をサマリ化：
https://www.future.co.jp/press_room/PDF/PressRelease_FutureVulsAI_250729.pdf
■FutureVuls に関するお問い合わせ先
https://vuls.biz/contact/プレスリリース提供：PR TIMES
記事提供：PRTimes
