VulnCon 2026 
VulnCon 2026 登壇セッションの紹介
脆弱性管理の現場では、CVE を軸にしたトリアージが広く行われています。ただ、この仕組みには見落としやすい死角があります。
たとえば、End-of-Life（EOL） を迎えた OSS コンポーネントには、深刻な脆弱性があっても CVE が採番されないケースがあります。加えて、メンテナンスが放棄されたコンポーネントはリポジトリジャッキング（Repo Jacking）やサプライチェーン攻撃のターゲットになりやすい状況です。
本セッションでは、こうした 「Hidden EOLs」 とサプライチェーンリスクに対して、エンジニアリングトリアージと 「コードダイエット」 というアプローチで対処する方法を紹介します。当社独自で分析した 16,000以上のプロダクションコンポーネント のデータ（日本経済新聞企業利用の公開ソフト、半数にサイバー攻撃転用リスク 民間調査）をもとに、CVE ベースのトリアージから Reachability Analysis や SSVC を活用したリスクベースの優先順位付けの移行、さらに「サイバー攻撃を受けるリスク自体を減らす手法」について、具体的にお話しする予定です。
| 項目 | 内容 |
|---|---|
| タイトル | The CVE Blind Spot: Defeating "Hidden EOLs" and Repo Jacking with Engineering Triage & Code Diet |
| 日時 | 2026年4月16日（木）13:15〜14:15（MST） |
| 会場 | Breakout 3（South Ballroom） |
| 登壇者 | Kota Kanbe, Ryunosuke Tanai（Future Corporation, JP） |
| TLP | TLP:CLEAR |
Vulcon 2026 弊社スピーカーと意気込みコメント
神戸 康多（Kota Kanbe）
フューチャー株式会社 CSIG シニアアーキテクト。FutureVuls チームリーダー。
立命館大学大学院理工学研究科情報システム学専攻修士課程を修了後、2004年にフューチャー株式会社に入社しました。100台以上のサーバー運用で脆弱性管理の負荷に悩んだ経験から、2016年にオープンソースの脆弱性スキャナ Vuls（GitHub Stars 11,800+）を公開。公開直後に GitHub Trending で全言語1位を獲得し、国内外のセキュリティ実務者に広く使われるツールに成長しました。
この功績から 2019年度ソフトウエアジャパンアワード（一般社団法人情報処理学会）を受賞。2022年には Google OSS Peer Bonus も受賞しています。国際的には BlackHat Asia Arsenal や HITCON での発表経験があります。
現在は、CVSS ベースのトリアージから Reachability Analysis や SSVC を活用したリスクベースの優先順位付けへの転換を進めており、16,000以上のプロダクションコンポーネントの分析を通じて、EOL マネジメントやサプライチェーンの肥大化に対するエンジニアリングトリアージの自動化に取り組んでいます。
IT 系技術情報交換コミュニティ「モヒカンSlack」の酋長（参加者1万人超）でもあり、日本のセキュリティコミュニティでもおなじみの存在です。
神戸のコメント
VulnConは、私にとってずっと憧れのカンファレンスでした。企業のCSIRTに向けた最新動向から、脆弱性管理やサプライチェーンセキュリティの実践的な知見まで、とにかく現場でダイレクトに役立つ情報が飛び交う場であり、これまではYouTubeのアーカイブ動画を食い入るように見て勉強していました。そんな憧れの舞台で、今度は自分が講演できるなんてまさに夢のようです。
昨今、OSSのサプライチェーンセキュリティは業界全体で深刻な問題となっています。今回のセッションでの知見共有を通じて、少しでも業界のセキュリティ意識が向上し、世の中がよりセキュアになればと願っています。
また、私たちが普段使っているOSSの健全性をチェックできるツールを新たに公開しました。
■uzomuzo-ossのリンク
https://github.com/future-architect/uzomuzo-oss
まずはこのツールを無料で試していただき、プロジェクト内に潜む「隠れたEOL」をあぶり出してみてください。これによって、世の中のサプライチェーンセキュリティの被害を少しでも減らすことができればと考えています。
ずっと背中を追いかけてきた最高の場所で、思い切りぶちかましてきます！
棚井 龍之介（Ryunosuke Tanai）
フューチャー株式会社 CSIG エンジニア。
2019年にフューチャー株式会社に新卒入社。Technology Innovation Group（TIG）を経て、現在は CSIG で脆弱性管理クラウド「FutureVuls」の SRE・セキュリティ領域を担当しています。インフラ、クラウドサービス、セキュリティが主な守備範囲です。
自身の英語力に課題を感じ休職留学に踏み切り、帰国後には情報処理安全確保支援士を取得。Datadog ユーザ会での登壇や Future Tech Blog での技術記事の発信など、社外のコミュニティへの発信にも取り組んでいます。直近では、Trivy サプライチェーン攻撃に対する FutureVuls 配布バイナリの安全性検証レポートを執筆・公開しました。
棚井のコメント
入社以来、インフラ・SRE 領域を軸にキャリアを歩んできましたが、CSIG での業務と FutureVuls の運用を通じて、脆弱性管理というテーマに正面から向き合うようになりました。日々のお客様環境の脆弱性対応やインシデントレスポンスに取り組む中で、CVE だけでは捉えきれないリスク ── メンテナンスが止まったコンポーネントや、サプライチェーンの肥大化 ── を肌で感じてきました。
そうした現場の経験と実データをもとに、エンジニアリングトリアージとコードダイエットという具体的なアプローチを発信できることを楽しみにしています。SRE とセキュリティの両方を見てきた立場から、現場のエンジニアに届く発表にします。
