HeroDevs、アプリケーション全体のCVE対策ツール「Evergreen」をリリース

2026年11月5日、ユタ州サンディ発 —アプリケーション層におけるCVE修正および商用オープンソースサポートのリーダー企業であるHeroDevsは本日、「Evergreen」を発表しました。 この発表は、最先端のAIモデルによって脆弱性の発見が迅速かつ低コスト化され、CVEの発生件数がエンジニアリングチームが処理できる範囲を超えて増加している状況を受けて行われたものです。「Evergreen」は、アプリケーション全体にわたるオープンソース依存関係の健全性を継続的に追跡します。アップストリームでの修正が提供されなくなった依存関係にCVEが発生した場合、「Evergreen」は、Java、JavaScript、または.NET を使用して組織が構築するすべてのアプリケーションに対し、14日間のSLAを保証したCVEフリーのドロップイン置換を自動的に提供します。 

CVEの多くは、バージョンのアップグレードによって解決されます。 未解決のまま残り、最も多くのエンジニアリングリソースを要するCVEは、多くの場合、アップストリームでの修正が提供されなくなったバージョンに存在しています。これらのCVEを解消するには、メジャーアップグレードを行うか、社内でパッチを作成・維持する必要があり、その結果、エンジニアが製品ロードマップから手を引かざるを得なくなります。この課題は一時的なものではなく、構造的なものです。 Sonatypeの「2026年ソフトウェアサプライチェーン現状報告書」によると、アップストリームでの修正経路がない既知のCVEを抱えたオープンソースパッケージのバージョンが81,000以上存在することが判明しています。 Evergreen を利用すれば、エンジニアリングチームはメジャーアップグレードを行わずに CVE を解決できます。CVE のないドロップイン置換版が、チームの既存のワークフローにプルリクエストとして自動的に届きます。HeroDevs は、アップストリームでの修正が提供されなくなった依存関係のすべての CVE にパッチを適用します。また、新しい CVE が発生するたびに、HeroDevs はそのドロップイン置換版にパッチを適用し続けるため、エンジニアリングチームはアプリケーション全体を通じて、現状の環境を維持したままセキュリティを確保できます。

アプリケーションセキュリティ（AppSec）およびコンプライアンスチームにとって、アップストリームでの修正が提供されなくなったバージョンのCVEは、未解決のまま残る問題となります。未解決の問題は、本番環境における継続的なリスクであり、AppSecチームはその責任を負うものの、単独では解決することができません。セキュリティスキャナーはCVEを報告し続けますが、Evergreenはそれらと連携して、サポート対象外のバージョンに存在する問題を追跡し、各問題を解決する代替手段を提供します。 すべての是正措置には、VEXステートメントと法的保証書が付属しており、これらはAppSecおよびコンプライアンスチームが、FedRAMP、PCI、SOC 2、HIPAA、CRAなどのフレームワークの監査員に提示できる証拠となります。 

「AIのおかげで脆弱性の発見は迅速かつ低コストになりましたが、依然としてCVEを1件ずつ個別に修正する対応が行われているのが現状です」と、HeroDevsのCEOであるアーロン・ミッチェル氏は述べています。「このアプローチは、CVEの発生ペースがチームの対応能力の範囲内だった時代には有効でした。1日260件以上の新しいCVEが発生する現在、CVEを1件ずつ個別に処理することは、エンジニアをロードマップから引き離す新たなプロジェクトを意味します。私たちは『Evergreen』を、新たな前提に基づいて構築しました。それは、顧客がCVEを1件ずつではなく、アプリケーション全体を包括的に保護できるべきだということです。エンジニアリングチームにとって、かつては新たなプロジェクトだったものが、レビューしてマージするだけのプルリクエストに変わるのです。」

フォーチュン100企業の半数を含む1,000以上の組織が、すでに自社のアプリケーションが依存するオープンソースライブラリにおけるCVE修正対策としてHeroDevsを活用しています。本日より提供開始された「Evergreen」は、個々のライブラリに対するCVE修正対策を、アプリケーションの依存関係ツリー全体へと拡張するものです。 すべての修正措置は、広く利用されているフレームワークのオリジナルメンテナを含むオープンソースメンテナによって審査およびテストされています。 ほぼすべてのアプリケーションには、もはやアップストリームからの修正が提供されていないオープンソースが使用されていますが、Evergreenを利用すれば、チームはCVEによって強制されるのではなく、自らの判断でそのオープンソースからの移行を行うことができます。エンジニアリングチームやセキュリティチームは、アプリケーションのオープンソース依存関係に関する無料の脆弱性レポートから利用を開始できます。 

「Evergreen」は本日よりご利用いただけます。Evergreenの詳細については、こちらの動画をご覧ください。また、デモのご予約をご希望の場合は、弊社までお問い合わせください。  

‍

HeroDevsについて

HeroDevsは、企業が依存するオープンソースライブラリが常に安全で、常にサポートされることを保証する分野のリーダーです。HeroDevsは、AngularJS からSpring や.NET に至るまで、オープンソースライブラリのCVEフリーでそのまま置き換え可能な代替版を提供しています。これにより、企業は脆弱性やコンプライアンス要件から保護されつつ、自社の都合に合わせて移行計画を立てることができます。