# OWASP Top 10 2025の全10項目を解説｜2021年版からの変更点
Webアプリの代表的なリスクをまとめたOWASP Top 10の最新版（2025年版）を、A01〜A10の内容と対策、2021年版からの変更点、開発現場での使い方まで日本語で分かりやすく整理します。
OWASP Top 10は、Webアプリケーションで特に重大なセキュリティリスクを10項目にまとめた文書です。2026年10月時点の最新版は「OWASP Top 10:2025」で、公式サイト（top10.owasp.org）のトップも2025年版に切り替わっています。2021年版から2つの新カテゴリが加わり、1つが統合されました。
- 1位は2021年版に続き「アクセス制御の不備（Broken Access Control）」。SSRFもここに統合された
- 新カテゴリは「ソフトウェアサプライチェーンの失敗」と「例外的な状況の不適切な処理」の2つ
- 589種類のCWEを分析したデータと、現場の実務者へのアンケートを組み合わせて順位を決めている
## OWASP Top 10とは
OWASP（Open Worldwide Application Security Project）は、アプリケーションセキュリティの向上を目的とした国際的なオープンコミュニティです。Top 10はその代表的な成果物で、2025年版は8回目の発行にあたります。
Top 10は「これだけ守れば安全」というチェックリストではなく、開発者や組織が優先して取り組むべきリスクを知るための入口です。脆弱性診断の観点の整理や、社内のセキュア開発教育、発注時のセキュリティ要件のたたき台として使われています。
| 項目 | 内容 |
| --- | --- |
| データ | 各組織から集めたテスト結果。2021年以降の年ごとに「テストしたアプリ数」と「そのCWEが1件以上見つかったアプリ数」を集計 |
| 分析したCWE数 | 589種類（2017年版は約30、2021年版は約400） |
| 順位の決め方 | データから12カテゴリを順位付けし、そのうえで2カテゴリをコミュニティアンケートの結果で選出 |
| カテゴリの構成 | 1カテゴリあたり平均25のCWE。上限は40 |
データは過去のテスト結果なので、新しいリスクほど反映されにくいという弱点があります。そのため、現場の実務者へのアンケートで補っている点が特徴です。また、症状（例：機密データの露出）ではなく、できるだけ根本原因（例：暗号の失敗）でカテゴリを分けるように整理されています。
## 2025年版の全10項目
2025年版の一覧です。日本語名は本記事での訳です。
| 順位 | カテゴリ | 概要 |
| --- | --- | --- |
| A01 | Broken Access Control（アクセス制御の不備） | 権限のない操作やデータ閲覧ができてしまう。SSRF・CSRFも含む |
| A02 | Security Misconfiguration（セキュリティ設定の不備） | 初期設定のまま、不要な機能が有効、エラー表示が詳細すぎるなど |
| A03 | Software Supply Chain Failures（ソフトウェアサプライチェーンの失敗） | 依存ライブラリ、ビルド環境、配布基盤での侵害 |
| A04 | Cryptographic Failures（暗号の失敗） | 暗号化の欠如や弱い方式の利用で機密データが漏れる |
| A05 | Injection（インジェクション） | SQLインジェクションやXSSなど、入力がコードとして解釈される |
| A06 | Insecure Design（安全でない設計） | 設計段階で脅威を考慮していない |
| A07 | Authentication Failures（認証の失敗） | 弱いパスワードの許容、セッション管理の不備など |
| A08 | Software or Data Integrity Failures（ソフトウェアとデータの完全性の不備） | コードやデータの改ざんを検証していない |
| A09 | Security Logging and Alerting Failures（ログとアラートの不備） | 記録していない、記録しても通知しない |
| A10 | Mishandling of Exceptional Conditions（例外的な状況の不適切な処理） | エラー処理の不備、異常時に安全側に倒れない（フェイルオープン） |
## 2021年版からの主な変更点
OWASPは、2025年版の変更を「2つの新カテゴリと1つの統合」と説明しています。順位の入れ替わりも含めて整理すると次のとおりです。
- A01 Broken Access Control
- A02 Cryptographic Failures
- A03 Injection
- A04 Insecure Design
- A05 Security Misconfiguration
- A06 Vulnerable and Outdated Components
- A07 Identification and Authentication Failures
- A08 Software and Data Integrity Failures
- A09 Security Logging and Monitoring Failures
- A10 Server-Side Request Forgery（SSRF）
- A01 Broken Access Control（SSRFを統合）
- A02 Security Misconfiguration（5位から上昇）
- A03 Software Supply Chain Failures（旧A06を拡大）
- A04 Cryptographic Failures（2位から下降）
- A05 Injection（3位から下降）
- A06 Insecure Design（4位から下降）
- A07 Authentication Failures（名称変更）
- A08 Software or Data Integrity Failures
- A09 Security Logging and Alerting Failures（名称変更）
- A10 Mishandling of Exceptional Conditions（新設）
変更の背景も公式の説明に書かれています。
- **設定不備の上昇**：アプリの挙動を設定で決める部分が増え、データ上も設定不備が多く見つかった
- **サプライチェーンの新設**：旧「脆弱で古くなったコンポーネント」を、依存関係・ビルド・配布全体に広げた。データ上の出現は少ないものの、コミュニティアンケートで最大の懸念として票を集め、CVEの平均的な悪用度・影響度は最も高い
- **認証の名称変更**：「識別と認証の失敗」から「認証の失敗」へ。標準的な認証フレームワークの普及が良い効果を生んでいるとしている
- **ログの名称変更**：「監視」から「アラート」へ。記録していても通知がなければ、インシデントの発見にはほとんど役立たないという考え方
- **例外処理の新設**：エラー処理の不備、論理エラー、フェイルオープンなど24のCWEを含む
## 各カテゴリで押さえたい対策
開発チームが最初に確認したいポイントを、カテゴリごとにまとめました。
| カテゴリ | まず確認すること |
| --- | --- |
| A01 アクセス制御 | 認可チェックをサーバー側で毎回行う。URLやIDを書き換えて他人のデータが見えないか試す |
| A02 設定不備 | 初期パスワード・不要な機能・詳細なエラー表示が本番に残っていないか |
| A03 サプライチェーン | 依存ライブラリの一覧（SBOM）を把握し、脆弱性情報を継続的に確認する |
| A04 暗号 | 通信のHTTPS化、パスワードの適切なハッシュ化、独自の暗号を使わない |
| A05 インジェクション | SQLはプレースホルダー、HTMLは出力時のエスケープを徹底する |
| A06 設計 | 設計段階で脅威モデリングを行い、悪用シナリオを洗い出す |
| A07 認証 | 多要素認証やパスキーの導入、ログイン試行回数の制限 |
| A08 完全性 | 外部から取り込むコードやデータの署名・ハッシュを検証する |
| A09 ログとアラート | 認証失敗や権限エラーを記録し、異常時に担当者へ通知が届くか |
| A10 例外処理 | エラー時に「許可」ではなく「拒否」に倒れる実装になっているか |
A05のインジェクションには、頻度は高いが影響が比較的小さいXSSから、頻度は低いが影響の大きいSQLインジェクションまでが含まれます。XSSの具体的な対策は[XSS（クロスサイトスクリプティング）の解説](/xss/)、A01に含まれるCSRFは[CSRFの解説](/csrf/)で、コード例とあわせて紹介しています。
## 開発現場での使い方
Top 10は読んで終わりにせず、開発プロセスのどこかに組み込むと効果が出ます。
レビューや脆弱性報告のときに「A01の問題」のように呼べるだけで、議論が速くなります。新メンバーの教育資料の入口としても使えます。
A06（設計）やA01（アクセス制御）は、実装後のテストでは見つけにくい項目です。設計レビューのチェック項目に入れておきます。
静的解析、依存関係スキャン、脆弱性診断の結果をカテゴリに対応させると、手薄な領域が見えてきます。
Top 10は意識づけのための文書です。具体的な要件が必要なら、OWASPのASVS（アプリケーションセキュリティ検証標準）や各種チートシートを参照します。日本語ではIPAの「安全なウェブサイトの作り方」も実装の参考になります。
（ここに自社のコードレビューや脆弱性診断でTop 10をどう使っているか、見つかった指摘の傾向などを書く）
## よくある質問
### Q. OWASP Top 10の最新版はいつのものですか？
2026年10月時点では「OWASP Top 10:2025」が最新です。公式サイトのトップページも2025年版へ案内されています。前の版は2021年版です。
### Q. Top 10の項目をすべて対策すれば安全ですか？
いいえ。Top 10は重大なリスクの代表例をまとめた啓発用の文書で、網羅的な要件ではありません。より詳細な要件はASVSなどの基準を使い、自社のシステムに合わせて検討してください。
### Q. XSSやCSRFはどのカテゴリに入りますか？
XSS（CWE-79）はA05 Injection、CSRF（CWE-352）はA01 Broken Access Controlに含まれます。2021年版でA10だったSSRFも、2025年版ではA01に統合されました。
### Q. 日本語版はありますか？
公式サイトには日本語を含む複数の言語の切り替えメニューがあります。翻訳の進み具合は言語によって異なるため、正確な内容は英語版とあわせて確認すると安心です。
出典: [OWASP Top 10:2025](https://top10.owasp.org/2025/)、[OWASP Top 10:2021](https://top10.owasp.org/2021/)、[About the OWASP Foundation](https://owasp.org/about/)、[OWASP Top 10:2025 Introduction](https://top10.owasp.org/2025/0x00_2025-Introduction/)、[A01:2025 Broken Access Control](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)、[A05:2025 Injection](https://top10.owasp.org/2025/A05_2025-Injection/)、[IPA「安全なウェブサイトの作り方」](https://www.ipa.go.jp/security/vuln/websecurity/about.html)