iViZは、セキュリティ製品のさまざまな弱点を調べるに当たり、脆弱性を招く可能性のあるバグや欠陥を弱点だと定義している。このアプローチに基づくと、セキュリティ製品の主な弱点は、アクセス制御と入力値検証であることが分かった。2011年と比べると、特に「アクセス制御の脆弱性は急増している」という。

　セキュリティ製品は、市場に登場した直後から攻撃の標的にされる。2012年に発売された製品に見つかった脆弱性のほとんどが、米McAfee、米Cisco Systems、米Symantecといった大手セキュリティベンダーの製品に存在していたことは、驚くに当たらない。

　脆弱性の増加傾向は、他の商用製品やオープンソース製品にも見られる。米ソフトウェアコンサルティング企業、Denim Groupの首席アナリストであるダン・コーネル氏は、「こうした傾向は、（セキュリティ）ベンダーに行動を促すだけにとどまらない。広く普及しているソフトウェアの開発を手掛ける（独立系ソフトウェアベンダーにも）行動を促す」と指摘する。

　Javaのような開発実行環境、スクリプトの埋め込みや実行が可能な「Adobe Reader」のようなツールの普及は、「ベンダーにとって特に大きな問題だ」とコーネル氏は言う。セキュリティ問題の悪用が広がる土台は、こうした製品によってもたらされる。iViZなどの調査では、セキュリティ市場がベンダーに対し、セキュアなコードの開発と導入を求める声を強めていることが分かるという。

　iViZは、調査の結論として、セキュリティ製品に対する攻撃件数は今後も増え続ける一方、見つかった脆弱性の大部分は公表されないままになるだろうと予想する。つまり、商用ネットワークや各種のセキュリティ製品に対する標的型攻撃が増える中で、こうした脆弱性は悪用され続けるということだ。

　iViZの調査によれば、セキュリティ製品に見つかった脆弱性の件数は2007年以降減少を続け、2011年には底を突いていた。2012年に発見されたセキュリティ問題は、ウイルス対策製品の脆弱性に加え、ファイアウォールや侵入検知・防止システム（IDS／IPS）への攻撃が大部分を占める。

　さらに、2012年に米国で、SymantecやスペインのPanda Security、米Barracuda Networksといった大手セキュリティ企業に対する攻撃が相次いだことを挙げ、「セキュリティ企業に対する攻撃は、世界中でセキュリティ侵害の連鎖を引き起こす可能性がある」と指摘する。

　iViZは自らの侵入テストでも、さまざまなウイルス対策製品に存在するコード実行や情報流出の脆弱性を発見してきたという。同社の調査では、米政府の脆弱性管理情報を蓄積した「National Vulnerability Database」（NVD）をはじめ、一般に定評のある脆弱性基準や脆弱性データベースを利用した（報道によると、NVDも2013年3月にハッキングされ、サーバ2台がマルウェアに感染し、公開Webサイトなどのサービスがダウンした）。

　セキュリティ製品の脆弱性対策としてiViZは、ユーザーがセキュリティ製品の保証や独立機関からの侵入テストをベンダーに要求するよう促している。さらに、脆弱性が悪用された場合を見越して、効率的な検出や対応の仕組みといった予防策も提言する。

　セキュリティ不安が高まる中で、「米Adobe Systems製品のような広く普及したツールでは、コードのセキュリティ強化に向けてある程度の進展が見られる」とコーネル氏は言う。その表れとして、Adobeが2013年4月にブラッド・アーキン氏を最高セキュリティ責任者に起用したことを挙げる。

　アーキン氏は最近のブログに、「Adobeのソフトウェアは世界中で広く普及しており、攻撃者の標的となっていることは十分認識している」と記し、「セキュリティ機能の中心をなす重要な要素として、今後も幅広いセキュリティ業界との双方向コミュニケーションを促進する」と表明している。

　それでもAdobeのような企業は、「進展はしているが、大きな問題を抱えている」とコーネル氏は話す。その問題とは、何百万行というコードのセキュリティを強化しながら動きの速い市場に追い付くことであり、「こうしたベンダーは『自分たちの機能のセキュリティ』に照準を絞らなければならない」と言い添える。