CVEとは？脆弱性番号の基本を初心者向けに解説

CVE は Common Vulnerabilities and Exposures の略で、脆弱性ひとつひとつに付けられる共通の識別番号です。CVE-2026-12345 のように、西暦と連番で表されます。

製品名や記事の書き方が違っても、この番号があれば同じ脆弱性を指していると分かります。それが CVE の唯一かつ最大の役割です。

番号には「深刻度」が入っていない

ここがいちばん誤解されます。CVE の公式 FAQ は、CVE レコードに含まれるものを次の3つだと説明しています。

そして含まれないものとして、修正情報・影響・分類・その他の技術的な詳細を明示しています。理由は「それらは他の多くのデータベースやツールに既にあるから」です。

だから「CVE が出た＝緊急」ではない

番号が付いたことは、危険度の判定ではありません。深刻度の数値は NVD が別に付けており、実際に悪用されているかどうかは KEV Catalog を見ないと分かりません。「番号・深刻度・悪用状況」は別々の情報源です。

CNA（CVE Numbering Authority）と呼ばれる組織が採番します。製品ベンダー、研究機関、調整機関などが参加しており、自社製品の脆弱性には自社で番号を付けるのが基本の形です。どこにも当てはまらない場合の受け皿として、MITRE が最後の採番者を務めます。

規模は年々広がっています。CISA の文書（2025年9月）は「460を超える CNA」と記しており、CVE 公式のブログは2026年3月に「502組織が CNA として参加」と題した記事を出しています。

つまり採番は中央集権ではありません。だから同じ製品でも、報告経路によって番号が付く速さは変わります。

CVE は調査の起点として使うのが正しい位置づけです。

4番目を飛ばすと、番号の数だけ慌てることになります。同じ CVE でも、該当機能を無効にしている環境では影響しないことが普通にあります。

社内で脆弱性を管理するなら、製品名とバージョンだけでなくCVE 番号を必ず残します。製品名の表記は資料によって揺れますが、番号は揺れません。後から「これは対応済みだったか」を突き合わせるときに効きます。

逆に、番号だけを並べた一覧は読めません。番号・自社での該当有無・判断した理由をセットで残すと、次の人が同じ調査をやり直さずに済みます。

手元の CVE 番号の一覧を KEV カタログと突き合わせる方法は、KEVカタログで脆弱性対応の優先度を決めるで紹介しています。