セキュリティ業界には長く、一つの暗黙の前提があった。脆弱性が公開されてから攻撃者が実際に利用するまでには、数日から数週間の猶予がある——ベンダーがパッチを公開し、運用チームがメンテナンス窓口を組めるだけの時間が、必ずある、と。Radwareが公開したばかりの2026年上半期グローバル脅威分析レポートは、この前提に真っ赤な×を引いた。
レポートで最も目を引く数字は、攻撃の時間軸だ。2024年の平均は公開後53日での初回実攻撃、2025年は21.5日に短縮、そして2026年上半期はついにゼロを割った——攻撃は平均して公式CVEアナウンス以前に起きていた。つまり、利用された脆弱性の80%以上が「ゼロデイ」だ。5つに4つ以上は、ニュースが報じられる頃には、攻撃はすでに終了している。
従来の標準手順は「CVEアナウンスを監視 → 影響を評価 → 攻撃前にパッチを適用」。しかしこの流れの出発点自体がもはや成立していない。パッチはもう防御ではなく、事後の検証に過ぎない。本当に攻撃を生き延びなければならないのは、パッチが存在する前の一連の時間帯だ。
同じレポートの別の側面は、その規模だ。2026年上半期のWeb DDoS攻撃は前年同期比で110.6%増、上半期だけでの緩和量はすでに2025年通年総量の83%に肉薄。下半期が同様のペースを維持すれば、年間では166%の増加になる見込み。地域別にみると、北米が2026年で最も成長が急（約+190%）と予測され、EMEAは約+60%、APACは約+27%。
「1社あたり1日110回、509回」という数字の大きさに注目してほしい。多数の企業にとってDDoSはもはや「起こるか否か」の問題ではなく、毎日恒常的に起きており、問題なのは耐えられるかどうかという話に変わっている。
レポートには、セキュリティチームにとって居心地の悪い調査データもある。77%の組織がAI Agentの導入を進めている一方、自環境で動くAgentへの完全な可視性を持つのは17.2%のみ。70%超の組織で内部APIの利用が増加し、81.2%は毎週のように本番APIを更新しているが、APIを完全に文書化しているのは6.9%だけ。攻撃面は急速に広がる一方で、守る側はまだ自資産の棚卸しも終わっていない。
もう一方では、悪意あるBotトラフィックも高止まり——2026年上半期はすでに2025年通年の60%に接近し、北米が50.1%を占める。こうしたクローラ・自動トラフィックは単なるセキュリティ問題ではなく、消費するCDN帯域と運用コストは実在する出費だ（これはAI BotトラフィックやCloudflareのAIクローラ既定値変更を扱った直近の記事と同じ文脈）。
3つの事実を重ねて見れば、結論は一つになる。公開から攻撃までの時間がマイナス、1アプリ1日に1万4千超の悪意取引、眠らない攻撃者。「人がアラートを見てから対応する」速度の防御は、もう攻撃者に1世代遅れている。検知、遮断、検証は機械速度で、しかも攻撃が届いた同じ秒に完了しなくてはいけない。
具体的に3つ。第一に、エッジでの自動WAFとDDoS洗浄——ログ確認を待たず、異常トラフィックがオリジンに届く前に止める。第二に、継続的な異常検知——APIや管理画面に行動ベースラインを敷き、1万4千件の悪意取引に紛れ込む本物の脆弱性利用を秒単位で摘み出す。第三に、MTTRを分単位へ——パッチが出る時間は制御できないが、遮断・封じ込め・検証の速度は制御できる。AIOpsが「加点項目」から「合格ライン」へ移行した理由はまさにこれだ。
脆弱性の80%が公開前に利用される以上、「パッチを待つ」戦略は今年、正式に期限切れになった。Lafa Systemの答えはシンプルだ。検知・遮断・検証をすべて自動化し、攻撃が届いた同じ秒に防御が反応する——相手はもう、誰にも待たないのだから。