用語集・脆弱性と診断
CVSS
Common Vulnerability Scoring System
CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を0.0から10.0で表す共通の評価方法であり、現行版は2023年11月公開のv4.0である。
別の呼び方 共通脆弱性評価システム、CVSSスコア、CVSS v4.0
要点
- 意味 CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を0.0から10.0で表す共通の評価方法であり、現行版は2023年11月公開のv4.0です。
- 中小企業にとって 脆弱性情報は毎日大量に出るため、CVSSの点数がないとどれから直すかを決める共通の物差しがない。
- このサイトでは 攻撃手法 1 種、事例 2 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
脆弱性情報は毎日大量に出るため、CVSSの点数がないとどれから直すかを決める共通の物差しがない。
公開される点数の多くは脆弱性そのものの性質だけを見た基本値であり、自社での使われ方や悪用の状況は入っていない。
まず点数の高いものに加え、実際に悪用が確認されたものとインターネットに面した機器のものを優先するのが現実的である。
よくある誤解
- 誤解CVSSの基本値がそのまま自社にとってのリスクである
- 実際CVSS v4.0の仕様は、利用者が基本値に脅威の評価と環境の評価を加えて、自社のリスク評価に使うよう求めている。NVDなどが出すのは多くの場合基本値（CVSS-B）だけである。
- 誤解点数が低い脆弱性は後回しでよい
- 実際米CISAは、実際に悪用が確認された脆弱性の一覧（KEV）を優先順位付けの材料に使うよう勧めている。点数だけでなく悪用の有無も見る必要がある。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法VPN・エッジ機器の脆弱性悪用
インターネットに面したVPN機器などの脆弱性は狙われやすく、CVSSの点数に自社での露出度を加えて優先順位を決める場面に当たる。
- 事例Equifax
記録は社内に修正の警告を出したのに該当システムが修正されなかったとしており、評価した結果を実際の修正まで届ける運用が問われた例である。
- 事例名古屋港
記録はVPN機器と物理サーバの公表済み脆弱性が未対応だったとしており、公表済みの脆弱性をどの順で直すかを決める場面に当たる。
出典
- CVSS v4.0 Specification Document FIRST・2023-11-01
- Common Vulnerability Scoring System Version 4.0 FIRST
- Reducing the Significant Risk of Known Exploited Vulnerabilities CISA
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）