NVDとは？米国の脆弱性データベースをわかりやすく解説

NVD（エヌブイディー）は、米国のNIST（国立標準技術研究所）が運営する、脆弱性の情報を集めたデータベースです。CVEの番号ごとに、深刻度の点数（CVSS）や弱点の種類、影響する製品などの情報がまとめられています。このサイトの深刻度は、NVDのデータをそのまま表示しています。

NVDはどんなもの？

NVDは National Vulnerability Database の略です。米国のNISTの情報技術研究所が運営しています。

NISTはNVDを、ソフトウェアやハードウェアの欠陥の情報を集めた場所だと説明しています。コンピューターの安全をそこなうおそれのある欠陥です。

NVDのウェブサイトでは、CVE番号ごとのページで、その脆弱性の説明や点数などを見ることができます。

CVEは、脆弱性の一つひとつに付けられる共通の番号です。番号の仕組みは、米国CISAの支援のもとMITREが運営するCVEプログラムが取りまとめます。実際の番号は、メーカーなどの登録された団体（CNA）が割り当てます。

NVDは、そのCVEの記録をもとに作られたデータベースです。NISTによると、登録されたCVEはすべてNVDに追加されます。

つまり、CVEは「名札（番号）」、NVDは「名札ごとに情報を書き足した台帳」のような関係です。

NVDには、CVEの説明に加えて、いくつかの情報が登録されます。深刻度の点数（CVSS）、弱点の種類（CWE）、影響する製品の一覧、参考になるリンクなどです。

たとえばLog4Shell（CVE-2021-44228）では、NVD自身がCVSS v3.1で10.0と評価しました。弱点の種類も、開発元のApacheが付けたものと並んで、NVDが付けたもの（CWE-917）が登録されています。

影響する製品は、決まった書き方（CPE）で「どの製品のどの版か」が記録されます。参考リンクには「メーカーの勧告」「修正（パッチ）」などの印が付きます。

点数や弱点の種類は、NVDだけでなく、開発元などの他の機関が登録したものが並ぶこともあります。

NISTは以前、すべてのCVEに、点数や製品の一覧などの情報を付け足すことをめざしていました。2026年4月15日からは、条件に合うCVEを優先して付け足す方法に変えました。

優先されるのは、CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載ったCVEです。KEVに載ったものは、受け取ってから1営業日以内に情報を付け足すことを目標にしています。ほかに、米国の連邦政府で使われるソフトウェアと、米国の大統領令で定められた重要なソフトウェアのCVEも優先されます。

条件に合わないCVEも、NVDには追加されます。ただし「最も低い優先度」とされ、すぐには情報が付け足されません。

点数の付け方も変わりました。これまでNISTは、CVEを登録した団体（CNA）がすでに点数を付けていても、NVD自身の点数を付けていました。4月15日からは、そうしたCVEには、NVD自身の点数をふだんは付けないことになりました。

2026年6月17日からは、NVDのデータに新しい情報が加わりました。CISAが提供する対応の優先度の情報（SSVC）と、CVEの記録にある「影響する製品」の情報です。

このサイトの記事の「深刻度（CVSS）」の欄は、NVDのデータをそのまま表示しています。点数をAIに作らせることはしていません。

NVD自身の評価があるときは「NVD による評価」と表示します。ないときは、NVDに登録された他の機関（開発元など）の評価を表示し、そのことを書き添えます。点数がないときは「不明」と表示します。

点数の版は、v3.1を優先し、なければv3.0、v4.0の順で選びます。古い脆弱性でv2の点数しかないときは、v2を表示します。くわしく調べたいときは、記事の「公式情報」にあるNVDのリンクから、元のページを開いてみてください。