用語集

記事によく出てくる言葉を、短く説明します。

この用語集はAI（Claude）を使用して作成しています。誤りを含む可能性があります。

脆弱性ぜいじゃくせい: ソフトウェアや機器の、セキュリティ上の弱点のことです。攻撃者に悪用されると、情報を盗まれたり、勝手に操作されたりするおそれがあります。
CVEシーブイイー: 公開された脆弱性に付けられる、世界共通の識別番号です。「CVE-2026-12345」のように、年と番号で表します。この年は番号が割り当てられた年で、公開された年と違うこともあります。同じ脆弱性について調べるときの目印になります。
CVSSシーブイエスエス: 脆弱性の深刻さを0.0〜10.0の点数で表す、共通の評価方法です。点数が高いほど深刻です。このサイトの区分は、9.0以上を「緊急」、7.0〜8.9を「重要」、4.0〜6.9を「警告」、0.1〜3.9を「注意」、0.0を「なし」としています。版（v3.1、v4.0など）によって計算方法が違うため、同じ脆弱性でも版によって点数が変わることがあります。
KEV: Known Exploited Vulnerabilities の略で、米国のCISAがまとめている「実際に悪用が確認された脆弱性」の一覧です。ここに載ったものは、すでに攻撃に使われているため、早めの対応が勧められます。
CISAシサ: 米国の「サイバーセキュリティ・インフラストラクチャセキュリティ庁」（Cybersecurity and Infrastructure Security Agency）です。国土安全保障省（DHS）の機関で、KEVの一覧を公開しています。
NVDエヌブイディー: National Vulnerability Database の略で、米国のNIST（国立標準技術研究所）が運営する脆弱性データベースです。CVEごとに、説明やCVSSの点数などが登録されています。
CWEシーダブリューイー: 脆弱性の「種類」を分類するための共通の番号です。たとえばCWE-78は「OSコマンドインジェクション」を表します。CVEが個々の脆弱性の番号なのに対し、CWEは弱点のタイプを表します。
RCE（リモートコード実行）アールシーイー: Remote Code Execution の略で、攻撃者がネットワーク越しに、相手のコンピューター上で好きなプログラムを動かせてしまう状態です。最も危険な種類の脆弱性の一つです。
コマンドインジェクション: 入力欄などに細工した文字列を入れることで、本来は実行されないはずのOSの命令（コマンド）を実行させてしまう攻撃や、その弱点のことです。
SSRF（サーバーサイド・リクエスト・フォージェリ）: 攻撃者がサーバーをだまして、サーバー自身から別の場所（内部のネットワークなど）へ通信させる攻撃や、その弱点のことです。外からは見えないはずの内部の情報に届いてしまうことがあります。
権限（特権）けんげん: コンピューターで何をしてよいかの範囲のことです。管理者（root、SYSTEMなど）の権限を奪われると、そのコンピューターをほぼ自由に操作されてしまいます。
ゼロデイ: 修正方法（パッチ）が提供される前の脆弱性や、その脆弱性を使った攻撃のことです。修正がまだないため、特に危険とされます。
パッチ（更新プログラム）: ソフトウェアの不具合や脆弱性を直すために、メーカーが提供する修正用のプログラムです。多くの場合、ソフトウェアを最新版に更新することで適用されます。
緩和策かんわさく: パッチをすぐに適用できないときに、被害を受けにくくするための対策です。特定の機能を止める、外部からの接続を制限する、などがあります。「回避策」と似た意味で使われることもあります。
ランサムウェア: コンピューターのデータを勝手に暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。脆弱性が侵入の入り口として使われることがあります。
ベンダー: 製品を作って提供している会社や開発元のことです。脆弱性の対策方法は、まずベンダーの公式情報で確認します。