「CVE」「CVSS」とは：脆弱性を識別する共通の番号と深刻度を示すスコア

　ソフトウェアやネットワーク機器などの脆弱性を伝えるニュースでは、「CVE」で始まる番号や、「CVSS」のスコアが掲載されている。CVE番号は個別の脆弱性を識別するための共通の番号で、CVSSは脆弱性の深刻度を評価する仕組みだ。

脆弱性を識別する「CVE番号」

　CVE（Common Vulnerabilities and Exposures）は、米MITRE社が事務局を担う、脆弱性情報を共通の識別番号で整理したデータベース。脆弱性を識別するためのCVE番号は「CVE-年-数字」の形式で構成されており、これをもとにメーカーの告知や脆弱性情報サイトの情報などを結び付けられる。

　CVE番号の割り当ては「CVE Numbering Authority」（CNA）と呼ばれる組織が行う。日本国内でも、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）や製品開発企業などがCNAとして活動している。

　なお、CVE番号は脆弱性の公開順に付く連番ではなく、番号から脆弱性の深刻度や悪用の有無を判断することもできない。一方、印象的な番号が意図的に選ばれる例もある。2026年10月に公表されたLinuxカーネルの脆弱性「CVE-2026-99999」について、発見者は、影響の大きさなどを理由にLinuxのメンテナーから特別な番号を提案されたと説明している。

脆弱性の深刻度を評価する「CVSS」

　脆弱性の深刻度を評価するための共通の仕組みが、CVSS（Common Vulnerability Scoring System）だ。攻撃が成立する条件や、悪用された場合の影響などを評価し、深刻度を0.0～10.0のスコアで示す。

　スコアとともに、自然言語による「深刻度」が示されることがある。0は「なし」（None）、0.1～3.9が「注意」（Low）、4.0～6.9が「警告」（Medium）、7.0～8.9が「重要」（High）、9.0～10.0が「緊急」（Critical）に区分される（英語はFIRSTのCVSS v3.1の資料、日本語はIPAの「共通脆弱性評価システムCVSS v3概説」に基づく）。

　CVSSは評価方法の見直しなどが何度か行われており、複数のバージョンが存在する。近年の脆弱性情報では、2019年6月に公開されたv3.1と、2023年11月に公開されたv4.0のスコアが併記されることもある。

　CVSS v3.1とv4.0は、評価基準が一部異なるほか、大きな変更点として、スコアの書き方のルールが異なっている。

　v3.1では、評価基準に「基本」（Base）、「現状」（Temporal）、「環境」（Environmental）という3つの指標グループがあるが、「CVSS v3.1のスコア」というとき、実質的には「基本」のスコアだけが扱われることが多い。「現状」は攻撃コードや対策の状況など、時間とともに変化する要素を、「環境」は利用環境の対策や対象システムの重要性などを評価する。基本値だけでは、こうした現状や利用環境が反映されないため、結果的に「CVSS v3.1のスコア」が高くても悪用可能性の低い場合や、スコアは低くても緊急に対策すべき場合がある。

　CVSS v4.0は、「基本」と「環境」に加え、「現状」に代わって「脅威」（Threat）という指標グループが設けられ、スコアの表記にあたっては「CVSS-B」（基本のみ）「CVSS-BT」（基本＋脅威）「CVSS-BE」（基本＋環境）「CVSS-BTE」（基本＋脅威＋環境）などと、どの指標グループの数値なのかが分かるように書き方のルールが変更された。ただし、多くの脆弱性情報ではCVSS-Bの発表となっており、INTERNET Watchでも「CVSS 4.0のスコア」と記載する場合は、CVSS-Bのスコアを指している。

　なお、v4.0には、スコアには影響しない追加情報を示す「補助」（Supplemental）という指標グループもある。

脆弱性と対策の情報を確認できる「JVN」

　日本国内で使われるソフトウェアやネットワーク機器などの脆弱性と、その対策情報を提供するポータルサイトとして「JVN」（Japan Vulnerability Notes）が存在する。一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）と独立行政法人情報処理推進機構（IPA）が共同で運営している。

　同サイトでは、脆弱性の影響を受ける製品やバージョン、脆弱性の内容、修正や回避策、メーカーが公開している関連情報へのリンクなどの情報がまとめられている。

関連する記事