合同会社ムジンケイカクプロ
NEW
お陰様で毎日忙しいです。API Error: 529 OverloadedAIでSEO対策はどう変わる？変える施策・残す施策・新しい打ち手マーケティング理論とは？主要9理論の体系と実務目線での使い方

CVE・CWE・CVSSの違いとは　脆弱性の番号と深刻度の読み方を、Equifaxの情報流出で解説

脆弱性の告知には、「CVE-2017-5638」のような番号と、「CVSS 10.0」のような点数が並びます。 このページは、その番号と点数の意味を、日本語と英語を並べて説明する用語集です。 読み終えると、WordPress のプラグインの告知を見て、どれから直すかを決められます。

用語（英語／日本語） 何の略か 何に付くか 例
CVE（共通脆弱性識別子） Common Vulnerabilities and Exposures 1つ1つの脆弱性 CVE-2017-5638
CWE（共通脆弱性タイプ一覧） Common Weakness Enumeration 脆弱性の種類 CWE-79（XSS）
CVSS（共通脆弱性評価システム） Common Vulnerability Scoring System 深刻さの点数 10.0（緊急）
JVN Japan Vulnerability Notes 日本の脆弱性の告知 JVN#12345678
KEV Known Exploited Vulnerabilities 実際に悪用された脆弱性の一覧 CVE の番号で載る

覚え方は次のとおりです。 CVE は「どの脆弱性か」を表します。 CWE は「どんな種類の弱点か」を表します。 CVSS は「どれほど深刻か」を表します。 KEV は「もう攻撃に使われているか」を表します。

脆弱性（Vulnerability）

  • 何の略か 略語ではありません。
  • 日本語では 「脆弱性」と書き、「ぜいじゃくせい」と読みます。「セキュリティホール」と呼ぶこともあります。
  • 一言の定義 プログラムや設定にある、攻撃に使われうる弱点です。
  • どんなリスクがあるか 脆弱性を放っておくと、情報を盗まれる、ページを書き換えられる、サーバーを踏み台にされるといった被害につながります。
  • 影響を受ける運用 プログラムを更新せずに使い続けているサイトです。
  • 実際の事例 CVE の節に書きます。
  • 分類番号 脆弱性の1つ1つには CVE、種類には CWE の番号が付きます。

ゼロデイ（Zero-day）

  • 何の略か 略語ではありません。
  • 日本語では 「ゼロデイ」とカタカナで書きます。「ゼロデイ脆弱性」「ゼロデイ攻撃」と使います。
  • 一言の定義 修正版がまだ出ていない段階の脆弱性や、それを突く攻撃のことです。
  • どんなリスクがあるか 更新では防げないので、修正版が出るまでは回避策で被害を抑えるしかありません。
  • 影響を受ける運用 回避策の告知を読まず、修正版が出るのを待つだけのサイトです。
  • 実際の事例 このページでは扱いません。
  • 分類番号 ゼロデイかどうかに対応する番号はありません。

CVE（Common Vulnerabilities and Exposures、共通脆弱性識別子）

  • 何の略か Common Vulnerabilities and Exposures の略です。
  • 日本語では IPA は「共通脆弱性識別子CVE」と呼んでいます。
  • 一言の定義 公開された脆弱性の1つ1つに付ける、世界共通の番号です。
  • 番号の形 「CVE-年-番号」の形です。例の CVE-2017-5638 は、2017年に付いた番号です。
  • 誰が付けるか CVE プログラムに参加する組織（CNA、CVE Numbering Authority）が付けます。ソフトウェアの開発元、オープンソースの事業、調整機関などが CNA になっています。CVE プログラムは、米国の CISA が支援し、MITRE 社が運営しています。
  • 何が分かるか 番号があると、別々の会社の告知が同じ脆弱性を指しているかを確かめられます。1つの脆弱性に、1つの記録（CVE Record）が対応します。
  • 何が分からないか CVE の番号そのものには、深刻さの点数は含まれません。深刻さは CVSS で表します。
  • 記録の状態 記録は、番号だけを確保した「Reserved」、中身を公開した「Published」、使わなくなった「Rejected」の3つの状態を取ります。
  • どんなリスクがあるか 自分が使う製品の CVE を追っていないと、修正版が出ていても気づかず、古い版のまま狙われます。
  • 影響を受ける運用 WordPress の本体やプラグインを、自動更新にも手動の点検にもしていないサイトです。
  • 実際の事例1（Equifax、2017年）
  • 米国の信用情報会社 Equifax は、2017年7月に、苦情受付のWebサイトから不正に入られたことに気づきました。少なくとも1億4,550万人分の個人情報が盗まれました（米国会計検査院 GAO の報告書）。
  • Equifax は2017年9月13日、入口が Apache Struts の CVE-2017-5638 だったと発表しました。
  • Apache Struts は、この脆弱性を2017年3月7日に告知し、同じ日に修正版を出していました。Apache 財団は、流出の原因は更新を期限内に入れなかったことだと述べています。
  • CVE の記録には、この脆弱性が2017年3月に実際に悪用されていたことも書かれています。
  • 実際の事例2（WordPress のプラグイン、2020年）
  • WordPress のプラグイン File Manager の 6.9 より前の版には、外からプログラムを置いて動かせる弱点がありました（CVE-2020-25213）。
  • CVE の記録には、2020年8月から9月に実際に悪用されたと書かれています。
  • CVSS 3.1 の点数は、CVE の番号を付けた MITRE が 10.0（Critical、緊急）としています。
  • NVD は、同じ脆弱性を 9.8（Critical、緊急）としています。
  • 分類番号 CVE-2017-5638、CVE-2020-25213 です。

CWE（Common Weakness Enumeration、共通脆弱性タイプ一覧）

  • 何の略か Common Weakness Enumeration の略です。
  • 日本語では IPA は「共通脆弱性タイプ一覧CWE」と呼んでいます。
  • 一言の定義 脆弱性を「どんな種類の弱点か」で分けた一覧と、その番号です。
  • CVE との違い CVE は「この製品のこの版の、この脆弱性」に付きます。CWE は「XSS」「設定の不備」のような種類に付きます。1つの CWE の下に、たくさんの CVE がぶら下がります。
  • 番号の例 CWE-79 はクロスサイトスクリプティング（XSS）です。CWE-1021 は、他のサイトの枠に重ねて表示させる弱点（クリックジャッキングの原因）です。
  • どんなリスクがあるか 種類で見ないと、同じ種類の弱点を何度も作り込みます。
  • 影響を受ける運用 自社でフォームやログイン画面のプログラムを書いているサイトです。
  • 実際の事例 CWE は種類の一覧なので、事例は CVE の節に書きます。
  • 分類番号 この辞典の各ページでは、語ごとに対応する CWE の番号を書いています。

CVSS（Common Vulnerability Scoring System、共通脆弱性評価システム）

  • 何の略か Common Vulnerability Scoring System の略です。
  • 日本語では IPA は「共通脆弱性評価システムCVSS」と呼んでいます。
  • 一言の定義 脆弱性の深刻さを、0.0から10.0の点数で表す方法です。
  • 誰が決めているか FIRST（Forum of Incident Response and Security Teams）が仕様を管理しています。最新版は CVSS v4.0 です。

  • 点数と呼び方 点数の区切りは、CVSS v4.0 の仕様書と IPA の CVSS v3 概説で同じです。

    点数 英語（CVSS v4.0 仕様書） 日本語（IPA の CVSS v3 概説）
    0.0 None なし
    0.1〜3.9 Low 注意
    4.0〜6.9 Medium 警告
    7.0〜8.9 High 重要
    9.0〜10.0 Critical 緊急

  • どの版の点数かを見る 告知によって、v2、v3.x、v4.0 のどれで付けた点数かが違います。JVN は、v3 と v2 の点数を載せています。

  • どんなリスクがあるか 点数だけで順番を決めると、点数は中くらいでも実際に攻撃されている脆弱性を後回しにしてしまいます。
  • 影響を受ける運用 「7.0以上だけ直す」のように、点数だけで更新を決めているサイトです。
  • 実際の事例 CVE-2020-25213 の CVSS 3.1 の点数は、MITRE が 10.0、NVD が 9.8 です（CVE の節）。 同じ脆弱性でも、点数を付けた組織によって値が違うことがあります。
  • 分類番号 CVSS に対応する番号はありません。

JVN（Japan Vulnerability Notes）

  • 何の略か Japan Vulnerability Notes の略です。
  • 日本語では 「JVN」とそのまま呼びます。
  • 一言の定義 JPCERT/CC と IPA が共同で運営する、日本の脆弱性の告知サイトです。
  • 番号の形 2012年12月3日に、番号の形がまとめ直されました。
  • JVN#（8桁）は、日本の届出の仕組み「情報セキュリティ早期警戒パートナーシップ」で調整した脆弱性です。
  • JVNVU#（8桁）は、海外の調整機関や開発元と連携した脆弱性です。
  • JVNTA#（8桁）は、JPCERT/CC が出す注意喚起です。
  • 「緊急」の表示 攻撃がすでに見つかっているなど、対策の優先順位に関わる情報があるときは、「緊急」と表示されます。
  • どんなリスクがあるか 国産のソフトウェアや、日本で多く使われる製品の告知は、JVN に先に出ることがあります。JVN を見ていないと、気づくのが遅れます。
  • 影響を受ける運用 国産のCMS、ECのパッケージ、業務用の機器を使っているサイトです。
  • 実際の事例 このページでは扱いません。
  • 分類番号 JVN の番号は、上の「番号の形」のとおりです。

KEV（Known Exploited Vulnerabilities）

  • 何の略か Known Exploited Vulnerabilities の略です。CISA が公開する「KEV カタログ」を指します。
  • 日本語では 定まった日本語名は確認できませんでした。意味は「悪用が確認された脆弱性」です。
  • 一言の定義 実際に攻撃に使われたことが確かめられた脆弱性を、米国の CISA がまとめた一覧です。
  • 載る条件 次の3つをすべて満たすものが載ります。
  • CVE の番号が付いていること
  • 実際に悪用された確かな証拠があること
  • 修正版の適用などの、はっきりした対策があること
  • 使い道 CISA は、米国の政府機関に、KEV に載った脆弱性を期限内に直すよう求めています。根拠の指令は、2026年6月10日に BOD 22-01 から BOD 26-04 へ切り替わりました。CISA は、民間の組織にも KEV を直す順番の判断に使うよう勧めています。
  • どんなリスクがあるか KEV に載った脆弱性は、すでに攻撃に使われています。放っておくと、点数の高い脆弱性より先に狙われることがあります。
  • 影響を受ける運用 CVSS の点数だけで更新の順番を決めているサイトです。
  • 実際の事例 Equifax の事例の CVE-2017-5638 は、実際に悪用された脆弱性です（CVE の節）。
  • 分類番号 KEV の中では、CVE の番号で探します。

自分のサイトで確かめる方法

  1. WordPress の管理画面の「ダッシュボード」→「更新」で、本体、テーマ、プラグインに更新が残っていないかを見ます。
  2. 使っているプラグインの名前で、CVE の検索（cve.org）や JVN を検索します。
  3. 見つかった番号が KEV に載っているかを確かめます。

プロンプト駅の「WordPress の点検」に、本体、テーマ、プラグインの名前と版を入れると、調べ方と更新の順番をAIに出させる文を作れます。

直す順番の決め方

  1. KEV に載っているものを、最初に直します。
  2. 次に、CVSS の点数が高いもの（9.0以上の Critical）を直します。
  3. 修正版がまだないもの（ゼロデイ）は、告知にある回避策を入れます。使っていないプラグインなら、止めて消します。

点数だけで順番を決めないようにします。 実際に攻撃されているかどうかのほうが、順番を決めるうえで大切です。

出典

  • CVE「Overview - About the CVE Program」（2026-10-27 取得） https://www.cve.org/About/Overview
  • CVE Record「CVE-2017-5638」（2026-10-27 取得） https://www.cve.org/CVERecord?id=CVE-2017-5638
  • CVE Record「CVE-2020-25213」（2026-10-27 取得） https://www.cve.org/CVERecord?id=CVE-2020-25213
  • CISA「Reducing the Significant Risk of Known Exploited Vulnerabilities」（2026-10-27 取得） https://www.cisa.gov/known-exploited-vulnerabilities
  • FIRST「CVSS v4.0 Specification Document」（2026-10-27 取得） https://www.first.org/cvss/v4.0/specification-document
  • JVN「脆弱性レポートの読み方」（2026-10-27 取得） https://jvn.jp/nav/jvnhelp.html
  • IPA「共通脆弱性識別子CVE概説」 https://www.ipa.go.jp/security/vuln/scap/cve.html
  • IPA「共通脆弱性タイプ一覧CWE概説」 https://www.ipa.go.jp/security/vuln/scap/cwe.html
  • IPA「共通脆弱性評価システムCVSS v3概説」（2026-10-27 取得） https://www.ipa.go.jp/security/vuln/scap/cvssv3.html
  • GAO「Data Protection: Actions Taken by Equifax and Federal Agencies in Response to the 2017 Breach（GAO-18-559）」（2018-08-30） https://www.gao.gov/products/gao-18-559
  • The Apache Software Foundation「MEDIA ALERT: The Apache Software Foundation Confirms Equifax Data Breach Due to Failure to Install Patches Provided for Apache Struts Exploit」 https://news.apache.org/foundation/entry/media-alert-the-apache-software

関連するページ

下記フォームより直接ご相談・お問い合わせいただけます。
内容を確認のうえ、担当より折り返しご連絡いたします。

10文字以上4000文字以内でご記入ください。

プライバシーポリシーを読む

営業・提携・案件紹介などのご提案は、確かな実績をお持ちの方に限りお受けしています。

実績の例として、取引してきた企業の規模と、支援で伸ばした売上の金額をご記入ください。

ポートフォリオや紹介資料だけのご連絡には、返信いたしません。