CVEとCVSSの違いとは？番号と深刻度の点数を解説

CVEは、脆弱性（ソフトウェアの弱点）を見分けるための「番号」です。CVSSは、その脆弱性がどれくらい深刻かを0.0〜10.0で表す「点数」です。番号は「どれのことか」、点数は「どれくらい深刻か」を表すと考えると分かりやすいです。

CVEは番号、CVSSは点数

CVEは「CVE-2026-12345」のような番号で、脆弱性1つにつき1つ付きます。番号は名札のようなもので、深刻さを表すものではありません。

CVSS（シーブイエスエス）は、脆弱性の深刻さを点数で表す共通の物差しです。FIRST（ファースト）という団体の中のグループ（CVSS SIG）が管理しています。FIRSTは、世界のセキュリティ対応チームが集まる団体です。

CVEの公式サイトでも、深刻さの点数を付けるのはCVEプログラムの役目だという考えは誤解だと説明されています。番号と点数は、別々の仕組みです。ただし、CVEレコードにCVSSの点数が書き添えられることはあります。

CVSSの点数は0.0〜10.0で、高いほど深刻です。FIRSTの仕様では、点数を言葉の段階に分ける表が示されています。

9.0〜10.0は「Critical」（緊急）、7.0〜8.9は「High」（重要）です。4.0〜6.9は「Medium」（警告）、0.1〜3.9は「Low」（注意）です。0.0は「None」（なし）です。日本語の呼び名は、IPA（情報処理推進機構）の説明に合わせています。

この区分はCVSSのv3.1とv4.0で同じです。古い版のv2しか点数がない脆弱性では、区分が少し異なります。NVDの説明では、v2の区分はLow・Medium・Highの3つで、Criticalがありません。

CVSSの基本の点数は、多くの場合、製品のメーカーや、脆弱性の情報を公表する組織が付けます。

同じ脆弱性に、メーカーの点数と、米国NIST（国立標準技術研究所）のNVDの点数など、複数の点数が付くことがあります。それぞれの機関が評価するため、点数が同じになるとは限りません。

点数を見るときは、「だれが付けた点数か」もいっしょに確かめると安心です。

CVSSには版があります。今の版はv4.0で、2023年11月に公開されました。それより前の版として、v3.1、v3.0、v2があります。

版によって計算のしかたが違うため、同じ脆弱性でも版ごとに点数が変わることがあります。v4.0では「CVSS-B」のように、どの項目まで使って計算した点数かを名前で示す決まりもあります。

点数をくらべるときは、同じ版どうしでくらべるようにしましょう。

ふだん目にする点数の多くは「基本の点数」です。FIRSTの仕様では、脆弱性そのものの性質を表し、使う環境によって変わらないものとされています。

IPAの説明では、利用者が自分の環境を考えて評価し直す方法（環境評価基準）もあります。たとえば、外から接続できない場所でしか使っていなければ、危険の大きさは変わることがあります。

また、点数が低めでも、実際に攻撃に使われている脆弱性もあります。点数だけでなく、悪用されているかどうかも確かめることが大切です。

このサイトでは、深刻度（CVSS）をNVDのデータのまま表示しています。NVD自身の評価がない場合は、NVDに登録された他の機関（開発元など）の評価を表示します。点数がない場合は「不明」と表示します。

記事は、主に米国CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載ったものです。点数の高さにかかわらず、使っている製品なら早めに更新を確かめましょう。