CVEは脆弱性に付く「世界共通の背番号」で、点数ではありません。深刻度はCVSS、実際に狙われているかはKEVやEPSSで見る、という3点を押さえれば、脆弱性ニュースはぐっと読みやすくなります。

「CVE-2026-XXXXX、CVSS 9.8の緊急の脆弱性」——セキュリティニュースではこうした見出しが毎日のように流れてきます。2025年に公開されたCVEは約4万8千件で、1日あたり130件を超えました。全部を追うのは不可能です。

この記事では、番号の読み方、スコアの意味、周辺用語、そして2025〜2026年に起きた制度面の大きな変化までを整理し、最後にニュースを読むときのチェックリストをまとめます。

CVEとは：脆弱性の「世界共通の名前」

CVE（Common Vulnerabilities and Exposures）は、公開された脆弱性に一意の番号を付ける仕組みです。ベンダーの告知、スキャナーの検出結果、ニュース記事が同じ番号で同じ脆弱性を指せるのが最大の価値です。

番号の読み方

形式は `CVE-西暦-連番` です。

  • 西暦：番号を予約した年や公開した年で、ニュースになった年とは限りません。前年の番号が翌年に話題になるのはよくあることです。
  • 連番：4桁以上の可変長です。件数が増えたため、最近は `CVE-2026-110447` のような6桁の番号も珍しくありません。
  • 番号の大小は深刻さと無関係です。点数は別の仕組み（次節のCVSS）が担います。

誰が運営し、誰が番号を付けるのか

CVEプログラムは1999年に始まり、米国の非営利組織MITREが運営し、米国土安全保障省（DHS）僘下のCISAが資金を出しています（NVD）。

実際に番号を発行するのはMITREだけではありません。MicrosoftやGoogleなどのベンダー、セキュリティ企業、各国のCERTが CNA（CVE採番機関） として登録されており、その数は530を超えます（Nextgov）。日本ではJPCERT/CCが国内のCNAを束ねる「Root」を務めています。

1件のCVEが世に出るまで

  1. 研究者やベンダー自身が脆弱性を発見する
  2. 担当CNAがCVE IDを予約する（この時点では中身は非公開）
  3. 修正版の準備が整ったら、説明・影響範囲とともにCVEレコードを公開する
  4. NVD（米国）やJVN（日本）がスコアや対象製品などの付帯情報を足す
  5. 実際の悪用が確認されると、CISAのKEVカタログに載る
CVEが世に出るまでの流れ
CVEが世に出るまでの流れ

⑤はすべてのCVEに起きるわけではなく、実際に悪用が確認されたものだけがKEVに載ります。

CVSS：「どれくらい危ないか」の点数

ニュースの「CVSS 9.8」は、脆弱性そのものの深刻度を0.0〜10.0で表した値です。CVSS（Common Vulnerability Scoring System）は国際団体FIRSTが管理しており、スコアを付けるのはCNAやNVD、CISAなど複数の主体です。そのため、同じCVEでもサイトによって点数が異なることがあります。

深刻度 スコア 対応の目安
緊急（Critical） 9.0〜10.0 最優先で確認
重要（High） 7.0〜8.9 速やかに対応
警告（Medium） 4.0〜6.9 計画的に対応
注意（Low） 0.1〜3.9 影響を見て判断
なし（None） 0.0 実質的な影響なし

ベクター文字列で「なぜその点数か」が分かる

スコアの横によく並んでいる `AV:N/AC:L/PR:N/UI:N/...` は、点数の内訳です。数字だけ見るより、次の3つを拾うと実態がつかめます。

  • AV（攻撃元）：`N`ならネットワーク越しに攻撃できる。`L`や`P`なら端末へのローカル／物理アクセスが必要
  • PR（必要な特権）：`N`ならログイン不要で攻撃できる
  • UI（ユーザー関与）：`N`なら利用者が何もしなくても成立する

「ネットワークから、認証なしで、操作不要」がそろうと点数は9点台になりやすく、インターネットに面した機器では特に危険です。

v3.1とv4.0の違い

2023年11月にCVSS v4.0が正式公開され、現在はv3.1とv4.0が混在しています（@IT）。v4.0は「基本」「脅威」「環境」「補足」の4つの指標グループで構成され、どの組み合わせで算出したかを名前で示します。

表記 中身 使いどころ
CVSS-B 基本評価のみ ニュースやNVDで目にするのはほぼこれ
CVSS-BT 基本＋脅威（攻撃コードの成熟度） 「今、攻撃されうるか」を加味
CVSS-BE 基本＋自組織の環境 自社での深刻度を知りたいとき
CVSS-BTE 基本＋脅威＋環境 最も実態に近い判断

大事なのは、ニュースに載る点数はほぼ基本値だけだという点です。基本値は「理論上の深刻度」であって、あなたの組織にとってのリスクではありません。

周辺用語：CWE・NVD・JVN・KEV・EPSS

CVE番号は「名前」にすぎず、ニュースで語られる中身は周辺の仕組みから来ています。番号を軸に、何がどこから来るのかを整理すると次のとおりです。

CVEと周辺用語の関係
CVEと周辺用語の関係
用語 何がわかるか 運営 ニュースでの見どころ
CWE 脆弱性の「種類」（XSS、SQLインジェクションなど） MITRE 原因の型。開発者なら再発防止のヒントになる
CVSS 深刻度の点数（0.0〜10.0） FIRST 前節のとおり、基本値は理論上の深刻度
NVD CVEに点数・対象製品（CPE）・CWEを付けた米国のDB NIST 2026年4月から付帯情報の付与を優先順位制に変更（後述）
JVN / JVN iPedia 日本語の脆弱性情報と国内製品の情報 JPCERT/CC・IPA 日本語で調べるならまずここ
KEV 実際に悪用が確認された脆弱性のリスト CISA 載っていれば「今すぐ対応」の最強シグナル
EPSS 今後30日以内に悪用される確率の予測 FIRST KEVに載る前の「これから来そう」を見る

KEVとEPSSが注目される理由

CVSSが高くても一度も悪用されない脆弱性は多く、逆に点数が中程度でも実際に攻撃に使われるものもあります。KEVは2021年に始まった「悪用が確認された」CVEだけのリストで（SecurityWeek）、EPSSはその手前の予測を担います。KEVは事実、EPSSは予測と覚えておくと使い分けやすくなります。

なお、KEVに載っていないことは「悪用されていない」ことの証明にはなりません。

2025〜2026年に何が起きたか

CVEの件数が急増し、「すべてのCVEを点数順に潰す」前提が制度面でも崩れました。この2年の流れを知っておくと、最近のニュースが「KEV」や「リスクベース」を強調する理由が見えてきます。

件数は4年で2.4倍に

MITREの集計では、CVEの登録数は2021年の20,161件から2024年に40,077件、2025年に48,244件へ増え、2026年も上半期だけで3万5千件を超えました。AIを使った脆弱性発見の加速も要因に挙げられています（Qatar Tribune／共同通信配信）。一方、VulnCheckのデータでは2025年に新たに悪用された脆弱性の32%が、公開前または公開から24時間以内に攻撃に使われていました（Zafran）。

主な出来事（新しい順）

時期 出来事 読者にとっての意味
2026年9月22日 CISAがCVEプログラムを「成長の時代」から「品質の時代」へ移す方針を公表（CSA） 件数よりレコードの中身の質を重視する流れ
2026年6月10日 CISAが拘束力のある運用指令BOD 26-04を発出。公開機器か、KEV掲載か、自動化できるか、完全に乗っ取られるかの4要素で修正期限を3日・14日・60日などに振り分け（CSA、ComplianceHub） CVSSの点数ではなく「悪用の事実と露出」で優先順位を決めるのが公式の考え方に
2026年4月15日 NISTがNVDの付帯情報の付与を優先順位制に。KEV掲載、米連邦政府の利用ソフト、重要ソフト以外は「最低優先」扱い（NIST、Help Net Security） NVDにCVSSが付かないCVEが増える。CNAが付けた点数やJVNも併せて見る必要
2026年 欧州のENISAが20のCNAを束ねる役割に拡大。EU独自の番号体系GCVEも公開された（CSA、lilting.ch） 米国一極集中からの分散が進む
2025年4月15〜16日 MITREがCVE運営契約の失効を警告し、前日にCISAが11か月延長。同時期に非営利のCVE Foundationが設立（HSToday、GovInfoSecurity） 「CVEは永続する前提」が揺らいだ出来事

その後、CISAとMITREは契約を結び直し、CISAは「資金は全額確保されている」と説明しています（CSO記事の転載）。ただし契約内容の透明性を問う声も残っています。

BOD 26-04は米連邦機関向けの指令で、完全順守の期限は2026年12月7日です。民間企業に義務はありませんが、「悪用の事実・外部公開・自動化・影響」という判断軸はそのまま参考になります。

脆弱性ニュースを読むときのチェックリスト

ニュースでCVE番号を見かけたら、次の順に確かめると「自分に関係あるか、どれくらい急ぐか」が数分で判断できます。

  1. 自分たちは使っているか：対象の製品名とバージョンを確認する。使っていなければ、どんな高得点でも対応不要
  2. KEVに載っているか：「悪用を確認」「ゼロデイ」と書かれていれば最優先。CISA KEVカタログで番号を検索できる
  3. インターネットに面しているか：VPN、ファイアウォール、公開Webサーバーなど外から届く機器は特に急ぐ。2025年に新たに悪用された脆弱性の18.3%がこうした境界機器でした（Zafran）
  4. CVSSのベクターを見る：`AV:N`（ネットワーク越し）、`PR:N`（認証不要）がそろっているかを確認する
  5. 修正版・回避策はあるか：ベンダーの告知を一次情報として確認する。日本語ならJVNが便利
  6. 既に侵入されていないか：悪用済みの脆弱性では、パッチを当てる前に侵入されていた可能性も確認する

チェックリストを判断の流れにすると、次のようになります。

脆弱性対応の判断フロー
脆弱性対応の判断フロー

CVSSの点数は、同じ枠の中で順番を決めるときの補助として使います。

よくある誤解

  • 「古いCVEはもう安全」→ 違います。 VulnCheckのデータでは、2025年に初めて悪用されたCVEの81%は2025年より前に公開されていました（Zafran）。パッチを当て忘れた古い脆弱性こそ狙われます。
  • 「CVSS 9.8なら全社緊急対応」→ 場合によります。 内部網の端末1台だけ、機能を無効にしている、といった条件で実際のリスクは大きく変わります。
  • 「CVEがないなら安全」→ 違います。 悪意あるパッケージやクラウドの設定ミスには通常CVEが付きません。2025年に見つかった悪意あるパッケージは、CVEの約4倍にのぼりました（Mondoo）。

まとめ

  • CVEは脆弱性の名前、CVSSは理論上の深刻度、KEVは悪用の事実、EPSSは悪用の予測。
  • 年間4万8千件を超える今、「点数の高い順に全部やる」は成り立たず、米国政府も「使っているか・狙われているか・外から届くか」で優先順位を決める方向に舵を切った。
  • NVDの付帯情報がすべてのCVEに付く時代は終わった。cve.org、ベンダー告知、JVN、KEVを組み合わせて読む。

参考リンク

公式の調べ先

本文で参照した記事

AI監視ツール Smart AI Watcher スマートAIウォッチャーwww.intelligentworks.co.jp