Q&A
脆弱性やこのサイトについて、よくある質問と、いただいた質問にお答えします。
質問を受け付けています
「こんなことを聞いてもいいのかな」と思うことでも大丈夫です。質問・ご意見・まちがいの指摘など、なんでもどうぞ。名前やメールアドレスは不要で、匿名で送れます。
Google フォームが開きます。いただいた質問は、名前などを出さずにこのページで紹介することがあります。個人情報や、所属する組織の情報は書かないでください。
このページの回答はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
よくある質問 CVE（シーブイイー）って何ですか？
CVEは、公開された脆弱性の一つひとつに付けられる共通の番号です。「CVE-2026-109618」のように、「CVE-年-通し番号」の形になっています。
同じ脆弱性を、メーカー・ニュース・セキュリティ製品などが同じ番号で呼べるので、情報を探したり照らし合わせたりしやすくなります。番号の仕組みは、米国CISAの支援のもとMITREが運営するCVEプログラムが取りまとめ、実際の番号はメーカーなどの登録された団体（CNA）が割り当てます。
番号の「年」は、多くの場合は番号が予約された年なので、脆弱性が公開された年や見つかった年と違うことがあります。
よくある質問 CVSSの点数（深刻度）は、どう見ればいいですか？
CVSSは、脆弱性の深刻さを0.0〜10.0の点数で表す共通の物差しです。このサイトでは、NVDの点数に合わせて「緊急（9.0〜10.0）」「重要（7.0〜8.9）」「警告（4.0〜6.9）」「注意（0.1〜3.9）」と表示しています（CVSS v3・v4の区分です。古い脆弱性でv2の点数しかないものは、区分が少し異なります）。
ただし、点数は脆弱性そのものの性質を表すもので、あなたの環境での危険の大きさとは限りません。点数が低めでも、実際に悪用されているもの（「いま狙われている脆弱性」に載っているもの）は、早めの対策が必要です。
出典: https://www.first.org/cvss/、https://nvd.nist.gov/vuln-metrics/cvss
よくある質問 KEVに載っていない脆弱性は、安全ということですか？
いいえ。KEVは、米国CISAが「実際に悪用された確かな証拠がある」と判断した脆弱性を載せる一覧です（CVE番号があり、対策がはっきりしていることも、載せる条件です）。
載っていないのは「悪用が確認されていない」という意味で、「悪用されていない」「安全」という意味ではありません。悪用が分かってからKEVに追加されることもあるので、載っていなくても、深刻度が高いものは早めに更新しましょう。
出典: https://www.cisa.gov/known-exploited-vulnerabilities-catalog、https://www.cisa.gov/known-exploited-vulnerabilities
よくある質問 「悪用は未確認」の印は、どういう意味ですか？
KEVにはまだ載っていない（実際の悪用が確認されていない）けれど、深刻度が高く特に注意が必要な脆弱性に、このサイトで付けている印です。
記事の中の「〇/〇時点」は、その日の時点でKEVに載っていないことを確かめた、という意味です。あとでKEVに載った場合は、印のないふつうの記事として載せ直します。
よくある質問 記事はAIが書いているのですか？内容は正しいですか？
はい。記事の解説は、AI（GeminiまたはClaude）を使用して作成しています。AIには、公開データ（米国CISAのKEV、米国NISTのNVD）やメーカーの公式情報の範囲だけで書かせ、機械によるチェック、別のAIによる照合、公式情報との照らし合わせを行っています。
それでも誤りを含む可能性があります。対策をする前には、必ず各記事の「公式情報」のリンク先もご確認ください。まちがいを見つけたら、このページのフォームから教えていただけると助かります。