株式会社BlueAI は 2026年度 IT導入支援事業者に採択されました 詳しく見る
BlueAI セキュリティ
メニュー

用語集・脆弱性と診断

CVE

Common Vulnerabilities and Exposures

CVE（Common Vulnerabilities and Exposures）は、公開された個々の脆弱性に「CVE-年-連番」の一意の番号を付けて識別する共通の仕組みである。

別の呼び方 共通脆弱性識別子、CVE番号、CVE-ID

要点

  • 意味 CVE（Common Vulnerabilities and Exposures）は、公開された個々の脆弱性に「CVE-年-連番」の一意の番号を付けて識別する共通の仕組みです。
  • 中小企業にとって CVE番号があると、メーカーの告知や公的機関の注意喚起が同じ脆弱性の話かをすぐ照らし合わせられる。
  • このサイトでは 攻撃手法 1 種、事例 2 件、グループ 1 組のページと関わります。下の一覧から、記録のどこに関わるかを読めます。

中小企業にとっての意味

  • CVE番号があると、メーカーの告知や公的機関の注意喚起が同じ脆弱性の話かをすぐ照らし合わせられる。

  • 自社の機器やソフトに当たるCVEを把握できていないと、注意喚起が出ても自社が対象かどうかを判断できない。

  • まず使っている製品の一覧を作り、注意喚起に出るCVE番号と製品名を照合する習慣を付けるのが現実的である。

よくある誤解

誤解CVE番号が付いていれば、その脆弱性の危険度も分かる
実際CVEの記録は識別番号と説明と公開の参照先からなり、危険度の評価は含まない。深刻度の点数はNVDなどがCVSSで別に付けている。
誤解CVE番号はMITREだけがすべて採番している
実際番号の割り当ては、ソフトウェアメーカーや調整機関などの採番機関（CNA）が自分の担当範囲について行う。CVEプログラムはCISAが後援し、MITREが運営している。

このサイトの手口と事例との関係

関係は、それぞれのページに収録した記録の範囲で書いています。

  • 事例MOVEit Transfer

    記録は侵入の起点となった脆弱性をCVE-2023-34362と番号で示しており、各組織が自社の製品が対象かを照合する手がかりになった例である。

  • 攻撃手法ゼロデイ攻撃

    修正前に悪用される脆弱性も、公表後はCVE番号で識別され、適用すべき修正と結び付けて追えるようになる。

  • 事例Log4Shell

    記録はどの製品や機器に問題の部品が入っているかを各組織がすぐ洗い出せなかったことを決定的要因としており、識別番号を自社の部品一覧と照らす作業の重さを示す。

  • ハッカーグループCl0p

    記録はOracle E-Business Suiteのゼロデイ脆弱性をCVE-2025-61882として挙げており、攻撃の報告がCVE番号で共有される例である。

このテーマ

セキュリティ用語集

同じテーマのページをまとめて読めます。

次に読む

出典

最終確認日 （2026年10月24日）

監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）