OWASP
OWASP Top 10
Web アプリケーションの重大なセキュリティリスク Top 10。2013 年から 2025 年までの推移を一覧で確認でき、年ごとのランキング順にソート可能
OWASP Top 10 とは
OWASP（Open Web Application Security Project）は、Web アプリケーションセキュリティの向上を目的としたオープンなコミュニティです。
OWASP Top 10 は、Web アプリケーションで最も重大なセキュリティリスクを 10 項目にまとめたもので、数年ごとに更新されます。
開発者・セキュリティ担当者の共通言語として、セキュリティ要件の定義やコードレビューの基準として広く使われています。
Top 10 推移一覧
| リスク | 2025 | 2021 | 2017 | 2013 | 関連脅威 |
|---|---|---|---|---|---|
| アクセス制御の不備 | 1 | 1 | 5 | 7 | |
| セキュリティの設定ミス | 2 | 5 | 6 | 5 | |
| ソフトウェアサプライチェーンの不備 | 3 | -- | -- | -- | |
| 暗号化の失敗 | 4 | 2 | 3 | 6 | |
| インジェクション | 5 | 3 | 1 | 1 | |
| 安全でない設計 | 6 | 4 | -- | -- | |
| 認証の失敗 | 7 | 7 | 2 | 2 | |
| データ整合性と機密性の不備 | 8 | 8 | 8 | -- | |
| ログとアラートの不備 | 9 | 9 | 10 | -- | |
| 例外条件の不適切な処理 | 10 | -- | -- | -- | |
| 脆弱で古いコンポーネント | -- | 6 | 9 | -- | |
| SSRF | -- | 10 | -- | -- | |
| クロスサイトスクリプティング | -- | -- | 7 | 3 | |
| 安全でないオブジェクト直接参照 | -- | -- | 4 | 4 | |
| XML 外部エンティティ | -- | -- | 4 | -- | |
| クロスサイトリクエストフォージェリ | -- | -- | -- | 8 | |
| 既知の脆弱性のあるコンポーネント | -- | -- | -- | 9 | |
| 未検証のリダイレクトとフォワード | -- | -- | -- | 10 |
Top 10 に含まれない脅威について
OWASP Top 10 はあくまで「最も重大なリスク」を 10 項目に絞ったものであり、ここに含まれていない脅威を無視してよいわけではありません。
たとえば CSRF（クロスサイトリクエストフォージェリ）は 2013 年の Top 10 に含まれていましたが、フレームワーク側の対策が進んだことで 2017 年以降はランク外となりました。
しかし、対策が不十分な環境では依然として有効な攻撃手法です。
また、OWASP は Web アプリケーション以外にも LLM Applications Top 10（大規模言語モデル向け）、API Security Top 10、Mobile Top 10 など、領域別のリスクランキングを公開しています。
自組織のシステム構成に応じて、関連するリストも併せて確認することを推奨します。
関連トピック
XSS（クロスサイトスクリプティング）- 悪意あるスクリプトを Web ページに注入する攻撃手法。反射型・格納型・DOM Based の 3 種類がある。 SQL インジェクション- ユーザー入力を通じて不正な SQL 文を実行させる攻撃。データの漏洩・改ざん・削除が可能になる。 CSRF（クロスサイトリクエストフォージェリ）- ログイン済みのユーザーに意図しないリクエストを送信させる攻撃。 セキュアコーディングの基本- 安全なコードを書くための基本原則。入力検証・最小権限・エラーハンドリングの3原則で大半の脆弱性を防止できる。 セキュリティヘッダ- HTTP レスポンスヘッダでブラウザのセキュリティ機能を有効化する。CSP, HSTS, X-Frame-Options など複数のヘッダを組み合わせて防御層を構築する。 Content Security Policy (CSP)- ブラウザが読み込めるリソースの種類やオリジンを制限する HTTP ヘッダ。XSS の被害を大幅に軽減できる。 サプライチェーン攻撃- パッケージマネージャーやビルドパイプラインを経由した攻撃。依存関係の汚染、タイポスクワッティング、依存関係かく乱を解説。 安全でないデシリアライゼーション- 信頼できないデータのデシリアライズにより、任意のコード実行やアプリケーションロジックの改ざんが可能になる脆弱性。 ログ監視とモニタリング- セキュリティイベントのログを収集・分析し、異常を検知する仕組み。インシデント対応と事後分析の基盤となる。 クリックジャッキング- 透明な iframe を重ねて、ユーザーに意図しないクリックをさせる攻撃。