※本記事にはアフィリエイト広告（PR）を含みます。
「CVE-2026-XXXXXが公開」「CVSSスコア9.8」「CISAのKEVカタログに追加」——脆弱性関連のニュースやベンダーの注意喚起メールには、こうした略語や数値が当たり前のように並ぶ。日々パッチ適用の優先順位を判断する立場からすると、これらが何を表し、互いにどう関係しているのかを正しく理解していないと、対応の優先度を見誤ったり、無関係な情報に時間を取られたりしかねない。
本稿では、CVE・CVSS・JVN/JVN iPedia・NVD・CISA KEVカタログという主要な脆弱性情報源それぞれの仕組みと違いを整理し、日々のトリアージにどう組み込むかを実務目線でまとめる。CVSSのバージョンやNVD・CISAの運用ルールは今後も改訂され得るため、あくまで執筆時点の情報として参照してほしい。
CVEとは(採番の仕組み)
CVE(Common Vulnerabilities and Exposures、共通脆弱性識別子)は、個々の脆弱性に世界共通の識別子を付与する仕組みだ。米国土安全保障省の支援を受け、MITRE社が事務局を務める「CVEプログラム」として運営されており、識別子は「CVE-西暦-連番(4桁以上)」という形式で表記される。この番号があることで、ベンダー・研究者・セキュリティ製品ベンダーなど立場の異なる関係者が、同じ脆弱性を誤解なく指し示せるようになる。
CVE番号はMITRE社が一括で採番しているわけではない。CNA(CVE Numbering Authority)と呼ばれる認定組織が、自社製品や担当分野など決められた範囲内で番号を発行する分散型の仕組みが採られており、世界中のソフトウェアベンダー、セキュリティ企業、CERT組織などが多数CNAとして登録されている。
ここで押さえておきたいのは、CVEはあくまで「識別子」であり、深刻度や技術的な詳細そのものを表すものではないという点だ。CVE番号が採番・公開されても、実際の危険度や対応要否を判断するには、この後に述べるCVSSやベンダーの公表情報、JVNなどの内容確認が別途必要になる。「CVEが出た」だけではまだ、対応の優先度は決まらない。
CVSSとは(基本値/重大度、v3とv4)
CVSS(Common Vulnerability Scoring System、共通脆弱性評価システム)は、脆弱性の深刻度を0.0から10.0の数値で表す共通のものさしで、FIRST(Forum of Incident Response and Security Teams)という米国の非営利団体が仕様を策定・管理している。攻撃条件や影響範囲など、時間や利用環境によって変わらない脆弱性固有の特性から算出されるのが「基本値(Base Score)」で、ニュースやベンダー情報で目にするスコアは基本的にこの基本値を指す。
重大度は基本値の範囲に応じてNone(0.0)・Low(0.1〜3.9)・Medium(4.0〜6.9)・High(7.0〜8.9)・Critical(9.0〜10.0)の5段階に区分される。この区分自体は、現行のv3.x系とv4.0で共通しており、バージョンが変わってもスコアの読み方は変わらない。
実務で目にするのは主にv3.1(2019年6月公開)とv4.0(2023年11月公開)の2バージョンだ。v3.1はBase・Temporal(時間経過に伴う変化)・Environmental(利用環境による補正)の3指標群で構成される。v4.0ではTemporalが「Threat」という指標群に再編されて悪用状況をより実態に即して表現できるようになったほか、スコアには影響しない補足情報を扱う「Supplemental」指標群が新設され、攻撃条件や影響範囲の評価方法もより細分化されている。
注意したいのは、CVSSはあくまで技術的な深刻度の目安であり、NVD自身も公式に「CVSSはリスクの尺度ではない」と明記している点だ。スコアが高くても自社環境に該当資産がなければ対応の優先度は下がるし、逆にスコアが中程度でも公開資産で悪用が確認されていれば最優先になり得る。この「深刻度」と「リスク」のズレを埋めるのが、次に述べるKEVカタログの役割になる。
JVN・JVN iPediaとNVDの違い(日本語での情報源)
NVD(National Vulnerability Database)は、米NIST(米国立標準技術研究所)が運営する脆弱性データベースで、CVEとして登録された脆弱性に対しCVSS基本値やCWE(脆弱性の型)、CPE(対象製品情報)などを付加する「エンリッチメント」を行っている。英語ベースの情報源だが、多くのセキュリティ製品やスキャナが参照する事実上の標準データベースになっている。
このNVDの運用は2026年に入り大きく転換した。CVEの登録件数が2020年から2025年にかけて263%増加したことを受け、NISTは2026年4月から、CISAのKEVカタログ掲載分・政府機関で利用されるソフトウェア・重要ソフトウェアに該当するCVEを優先してエンリッチメントし、それ以外は「Lowest Priority(優先度最低)」として後回しにする方針に転換している。CNAが既に深刻度スコアを公表している場合はNVD独自の再算出も省略するとしており、「NVD上でCVSSが未設定、あるいは表示が遅い」からといって軽微な脆弱性とは限らない点には注意したい。
一方、JVN(Japan Vulnerability Notes)はJPCERT/CCとIPAが共同で運営する、日本語で読める脆弱性情報ポータルだ。国内の脆弱性ハンドリング(協調的な情報公開調整)プロセスを経た情報を中心に、ベンダーの対応状況とあわせて公開している。
JVN iPediaはIPAが運営する脆弱性対策情報データベースで、JVNに掲載された情報に加え、国内ソフトウェア開発者が独自に公表した情報、そしてNVD由来の海外の脆弱性情報も収集・翻訳して蓄積している点がJVN本体との違いだ。海外製品の脆弱性内容を日本語で確認したいときや、国内向け製品固有の脆弱性を調べたいときの参照先として使える。
CISA KEV(悪用が確認された脆弱性の優先度)
CISA(米サイバーセキュリティ・インフラセキュリティ庁)が管理するKEV(Known Exploited Vulnerabilities)カタログは、CVE番号が採番済みであること、実際に悪用された確かな証拠が確認されていること、そして具体的な対応手段が存在すること、という条件を満たした脆弱性だけを掲載する一覧だ。CVSSのような技術的な深刻度スコアではなく、「現に攻撃で使われているかどうか」という実績ベースのシグナルを提供する点が、CVEやCVSSとの決定的な違いになる。
2021年発行のBOD 22-01により、米連邦機関はKEV掲載脆弱性への期限内対応を義務付けられてきたが、2026年6月にはBOD 26-04が発行され、BOD 22-01は廃止された。新方針では一律の期限ではなく、資産がインターネットに公開されているか、KEVへの該当有無、自動的な悪用のしやすさ、侵害時に得られる制御の程度という4つの観点でリスクを評価し、最も深刻な組み合わせでは3日以内という短い期限を含む複数段階の対応期限を設定する仕組みに移行している。2026年12月7日までの導入が求められている。
この義務化自体は米連邦機関向けであり、日本国内の組織に直接適用されるものではない。ただしKEVカタログは「実際に悪用されているかどうか」を確認できる数少ない一次情報として、国や業種を問わずパッチ適用の優先順位付けの参考情報に広く使われている。
実務での使い分け・トリアージの考え方
ここまでの内容を役割で整理すると、次のようになる。
- CVE:関係者間で脆弱性を一意に指し示すための識別子であり、深刻度そのものは表さない。
- CVSS:技術的な深刻度を数値でそろえて比較するためのものさしで、基本値は利用環境に依存しない。
- JVN・JVN iPedia:日本語での内容確認や、国内製品固有の脆弱性情報を得るための情報源になる。
- CISA KEV:深刻度とは別軸で、実際に悪用されているかどうかを確認できる優先度シグナルになる。
日々のトリアージでは、まずCVE番号をもとに自社の資産に該当製品・バージョンがあるかをベンダーやCNAの一次情報で確認し、次にCVSS基本値で技術的な深刻度を把握しながら、対象資産がインターネットに公開されているか、業務上どれだけ重要かを掛け合わせて優先度を仮決めするという流れが基本になる。そのうえでKEVカタログへの掲載有無を必ず確認し、掲載されていれば他の作業より優先して対応する。日本語での詳細確認や、海外の情報源にまだ出ていない国内製品固有の脆弱性についてはJVN・JVN iPediaもあわせて参照するとよい。
NVDのエンリッチメント方針転換が示すように、単一の情報源だけを見て「スコアが出ていないから急がない」と判断するのは危うい。CVSSスコアの確定を待たずにベンダー情報やKEVカタログを先に確認する、複数の情報源を突き合わせてから優先度を決める、という姿勢が実務では欠かせない。
脆弱性対応や攻撃手法を安全に学ぶには、本番から隔離した検証環境が役立ちます。月単位で使えるVPSなら、汚れてもすぐ作り直せる学習用サーバーを手軽に用意できます。
まとめ
CVEは脆弱性を指し示す識別子、CVSSは深刻度を測るものさし、JVN・JVN iPediaは日本語での情報源、CISA KEVは悪用実績に基づく優先度シグナルであり、それぞれ役割が異なる。どれか一つだけを見て判断するのではなく、組み合わせて使うことが脆弱性対応の精度とスピードを両方とも底上げする。
NVDのエンリッチメント方針やCISAの対応期限の考え方自体も変化し続けているため、各情報源の一次情報を定期的に確認する習慣を持っておきたい。本稿で紹介した基準は執筆時点のものであり、制度設計の際はNVD・JVN・CISAなどの一次情報を都度確認してほしい。
最終更新：2026年7月
