CVEとは？脆弱性に付く番号をわかりやすく解説

CVE（シーブイイー）は、公開された脆弱性（ソフトウェアの弱点）の一つひとつに付く、世界共通の番号です。「CVE-2026-12345」のように、年と通し番号で表します。同じ脆弱性を、だれもが同じ番号で呼べるようにするための仕組みです。

CVEは脆弱性の「共通の番号」

ソフトウェアの弱点が見つかると、メーカーやニュース、セキュリティ製品がそれぞれ情報を出します。呼び名がばらばらだと、同じ話なのか別の話なのか分かりにくくなります。

そこで、脆弱性ごとに1つの番号を付けて、みんなが同じ番号で呼べるようにしています。これがCVEです。CVEの公式サイトでは、脆弱性1つにつき1つの「CVEレコード」（番号と説明などをまとめた登録情報）があると説明されています。

ニュースで番号を見かけたら、その番号で検索すると、メーカーの案内など同じ脆弱性の情報を探しやすくなります。

番号は「CVE-年-数字」の形です。たとえば「CVE-2026-12345」なら、「CVE」の印、「2026」という年、「12345」という数字でできています。

まん中の年は、番号が予約された年か、脆弱性が公開された年です。CVEの公式サイトでは、見つかった年を表すものではないと説明されています。そのため、番号の年と、ニュースになった年がずれることがあります。

最後の数字は4けた以上で、けた数に上限はありません。数字が大きいからといって、深刻だという意味ではありません。

番号の仕組みは「CVEプログラム」が取りまとめています。CVEプログラムは、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の支援を受けています。MITRE（マイター）という米国の組織が、事務局として運営を支えています。

実際に番号を割り当てるのは、CNA（CVE Numbering Authority、番号を付ける役目を認められた団体）です。CNAには、ソフトウェアのメーカー、研究者、オープンソースの団体、CERT（セキュリティの対応チーム）などがいます。

CNAは、それぞれ決められた範囲の製品について番号を付け、CVEレコードを公開します。CNAをまとめる「ルート」という役目の団体もあり、日本のJPCERT/CCもその1つです。

まず、だれかが新しい脆弱性を見つけます。見つけた人は、CVEプログラムに参加している団体に知らせます。

知らせを受けた団体が番号を割り当てると、その番号はその脆弱性のために予約されます。必要な情報がそろったと確かめられると、CVEレコードが公開されます。

そのため、番号だけ先に決まっていて、中身がまだ公開されていない時期もあります。

CVEは「どの脆弱性か」を見分けるための番号です。CVEの公式サイトでは、深刻さの点数を付けるのはCVEプログラムの役目だという考えは誤解だと説明されています。深刻さは、CVSSという別の物差しで表されることが多いです。CVEレコードに、CNAがCVSSの点数を書き添えることもあります。

また、CVEの番号があるだけでは、実際に攻撃に使われているかどうかは分かりません。実際の悪用は、米国CISAのKEVという一覧などで確かめます。

このサイトでは、記事ごとにCVEの番号を大きく表示しています。気になる番号があれば、まず記事の「公式情報」のリンクから、メーカーの案内を確かめてください。

記事は、主に米国CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載ったものを解説しています。自分の使っている製品の名前と番号を手がかりに、更新が必要かどうかを確かめましょう。