OWASP Top 10:2025 とは：Webアプリケーションの代表的な10の弱点

公開日：2026年10月10日（下書き）

OWASP と OWASP Top 10 の概要

OWASP（オワスプ。Open Worldwide Application Security Project）は、Webアプリケーションのセキュリティに取り組む国際的な非営利の団体です。

OWASP Top 10 は、Webアプリケーションで起こりやすく影響の大きい弱点を、10の分類にまとめた一覧です。
最新のバージョンは「OWASP Top 10:2025」で、2021年版から分類の一部が入れ替わりました。

OWASP はこの一覧を、開発者と Webアプリケーションのセキュリティに関わる人のための「意識を高めるための標準の文書（standard awareness document）」と位置づけています。

10の分類と身近な例

番号	分類（原文）	身近な例
A01	Broken Access Control	URL の番号を書き換えると、他人の注文の内容が見える
A02	Security Misconfiguration	管理用の画面が誰でも開ける・初期のパスワードのまま
A03	Software Supply Chain Failures	古いバージョンのプラグイン・ライブラリを使い続けている
A04	Cryptographic Failures	パスワードを暗号化せずに保存している
A05	Injection	検索の欄から、データベースへの命令を差し込める
A06	Insecure Design	パスワードの再設定の手順に、本人の確認が無い
A07	Authentication Failures	ログインを何回失敗しても止まらない
A08	Software or Data Integrity Failures	配布元を確認しずに、外部のプログラムを読み込んでいる
A09	Security Logging and Alerting Failures	不正なログインの記録が残らず、被害に気づけない
A10	Mishandling of Exceptional Conditions	エラーの画面に、サーバーの内部の情報が表示される

分類の名前は OWASP の原文です。例は弊社による説明です。

2025年版で目立つ2つの点

1. 部品のソフトウェアの弱点が独立した分類に

A03「Software Supply Chain Failures」は、自社で書いたプログラムではなく、部品として使うソフトウェアの弱点や改ざんを扱う分類です。
WordPress のプラグインのように、外部の部品を組み合わせて作るWebサイトでは、特に関わりの深い分類です。

2. 想定外の状況の扱いが新しい分類に

A10「Mishandling of Exceptional Conditions」は、エラーや想定外の入力を受けたときの扱いの不備を扱う分類です。
エラーの画面から内部の情報が漏れる、エラーの後に認証を通り抜けられる、といった弱点が含まれます。

経営者の方が押さえておきたい点

• 上位の A01（アクセス制御の不備）は、ツールだけでは見つけにくく、診断員の手作業による確認が欠かせません。
• A03 は、日々の更新の運用で多くを防げます。
• 診断の報告書では、指摘ごとに OWASP Top 10 のどの分類に当たるかを記載することが一般的です。

SecureArc の Webアプリケーション診断も、 OWASP Top 10:2025 と、 OWASP の試験の手引き「Web Security Testing Guide」に沿って点検いたします。
Webアプリケーション診断の内容を見る