「CVE-2021-44228」「CVE-2017-5638」のような番号は、大きな事故のニュースで必ず出てきます。この番号が何を表すのかを説明します。仕組みと、個人開発者が現実的に追う方法まで、ゼロから解説します。
番号の読み方
CVE番号は3つのパーツでできています。番号そのものに深刻度の意味はありません（深刻度は別物）。
なぜ必要か
脆弱性は毎日大量に見つかります。もし呼び名がバラバラだと、「あなたの言うその脆弱性」と「私が直したこの脆弱性」が同じものか分かりません。CVEという共通IDがあることで、ニュース・修正パッチ・スキャナ・データベースが同じ脆弱性を確実に指し示せるようになります。これが対策の出発点です。
誰が番号を付けているのか
CVEは米国のMITREが運営し、米国CISAが資金を出す「CVEプログラム」で管理されています。ただし番号を実際に付けるのは、CNA（CVE採番機関）として認められた世界中の組織です。ソフトウェアの開発元、セキュリティ研究機関、各国のCERTなど数百の組織があり、日本ではJPCERT/CCもCNAの1つです。
CVEの記録には状態があります。番号だけ確保して詳細を伏せている「Reserved（予約）」、内容が公開された「Published（公開）」、重複や誤りで取り消された「Rejected（却下）」です。ニュースで番号だけ出て中身が見えないときは、まだ予約の段階のことがあります。
CVE・NVD・JVNの違い
同じCVE番号でも、見る場所によって載っている情報が違います。
| 名前 | 運営 | 載っている情報 | 使いどころ |
|---|---|---|---|
| CVE（cve.org） | MITRE（CISAが支援） | 番号・短い説明・参照先 | 正式な番号と概要の確認 |
| NVD | 米国NIST | CVEに加えてCVSSスコア・影響を受ける製品の一覧 | 点数と対象製品の確認 |
| JVN | JPCERT/CC・IPA | 国内製品の脆弱性、日本語の解説と対策 | 日本語で読みたいとき、国内製品 |
| KEV | 米国CISA | 実際に悪用が確認されたCVEの一覧と対応期限 | 優先順位づけ |
CVE・CVSS・KEVの役割の違い
この3つはよく一緒に出てきますが、答える問いが違います。優先順位づけには3つとも使います。
| 用語 | 答える問い | 例 |
|---|---|---|
| CVE | どの脆弱性か（名前） | CVE-2021-44228（Log4Shell） |
| CVSS | どれくらい深刻か（0〜10） | 10.0（最悪クラス） |
| KEV | 実際に悪用されているか | 悪用観測リストに掲載＝最優先 |
CVSSが高い≠最優先、とは限らない
スコアは「最悪条件での理論値」です。実務では KEV（今まさに悪用されているか） と、自分がその機能を使っているかを併せて判断します。CVSS 10.0でも未使用なら影響は小さく、中スコアでも悪用中なら最優先です。
採番から修正までの流れ
CVEは「見つかったら即公開」ではなく、調整を経て公開されます。ざっくりこの流れです。
発見・報告
予約（Reserved）
修正と公開（Published）
悪用観測（KEV化）
具体例：ニュースによく出るCVE
当サイトで扱った事件と、そのCVE番号です。番号を覚える必要はありませんが、番号で検索すれば同じ脆弱性の情報が世界中から集まることが分かります。
| CVE番号 | 通称・製品 | 関連する事件 |
|---|---|---|
| CVE-2014-0160 | Heartbleed（OpenSSL） | Heartbleed：サーバのメモリ内容が漏れた |
| CVE-2017-5638 | Apache Struts | Equifax：未適用のまま1.47億人分が漏えい |
| CVE-2018-13379 | VPN装置 | 半田病院：ランサムウェアの侵入口とされた |
| CVE-2021-44228 | Log4Shell（Log4j） | Log4Shell：間接的な依存で使っていることに気づけなかった |
| CVE-2023-34362 | MOVEit Transfer | MOVEit：2,700社超に被害が広がった |
| CVE-2024-3094 | XZ Utils | XZ Utils：配布物にバックドアが仕込まれた |
番号が公表された時点で、攻撃する側も同じ情報を見ています。Equifaxや半田病院の事件では、修正が公開されてから侵入されるまでに時間がありました。修正を当てるまでの期間が、そのまま攻撃を受けうる期間になります。
個人開発者の現実的な追い方
CVEを人力で全部追うのは不可能で、その見落としがそのまま事故になります。→ 既知CVE(CVSS9.8)の放置で1.47億人が漏れた話
だから機械に見張らせます。
やりがちな失敗
- ニュースを見て「うちは大丈夫そう」と人力で判断
package.jsonの表記だけ見て危険度を測る- 「いつか更新する」で期限を決めない
機械に見張らせる
- Dependabot（GitHub）：依存に該当するCVEを自動でPR通知
- osv-scanner（Google）：ロックファイルを検査、CIに1ステップ
- 実際に動いているバージョンで判定（下限表記を信じない）
ポイントは「実際に動いているバージョン」で判定すること。package.json の下限表記は、実際に動いているバージョンと違うことがあります（RCE の事故でもこれが誤判定の原因になりました）。
自分の環境で確認する方法
CVE番号から中身を調べる
ニュースで見た番号を CVE / KEV ルックアップ に入れると、CVSS・悪用の確率（EPSS）・KEVに載っているかを一度に確認できます。日本語の解説は JVN で同じ番号を検索します。
自分の依存パッケージに該当するCVEを洗い出す
ロックファイル（package-lock.json・pnpm-lock.yaml など）を 依存パッケージ脆弱性スキャナ に読み込ませると、該当するCVEとGHSAが一覧になります。npmなら npm audit でも確認できます。
サーバやVPN装置などは、製品名とバージョンで照合する
パッケージ管理の外にある製品は、ベンダーのセキュリティ情報で、いま動いているバージョンが対象かを確認します。対象なら、修正版への更新期限を決めます（→ 脆弱性(CVE)対応の実務）。
出典（一次情報）
- CVE Program「Process」 — cve.org（CNAによる採番とCVEの記録の状態）
- NIST「National Vulnerability Database」 — nvd.nist.gov
- JPCERT/CC・IPA「JVN（Japan Vulnerability Notes）」 — jvn.jp
- CISA「Known Exploited Vulnerabilities Catalog」 — cisa.gov
次に読む
- 用語：CVSS とは（深刻度の採点基準） / RCE とは
- 対策：CVE追従のしくみを作る（機械監視）
- 事故：Equifax — 既知CVEの放置
- 実務：CVEの直す順番はどう決めるか（優先度と期限の決め方）
よくある質問
QCVE番号はどう読む？
『CVE-西暦-連番』の形です。例えば CVE-2025-12345 は2025年に採番された脆弱性です。番号自体に深刻度の意味はなく、深刻度は別途 CVSS で表します。連番は4桁固定ではなく、必要に応じて桁が増えます。
QCVE・CVSS・KEV は何が違う？
CVEは『どの脆弱性か』を表す名前、CVSSは『どれくらい深刻か』を表す0〜10のスコア、KEVは『実際に悪用が観測されているか』のリストです。優先順位は、CVSSの高さだけでなくKEV（今まさに攻撃に使われているか）を重く見るのが実務的です。
Q個人開発者がCVEを全部追うのは無理では？
人力では無理で、見落としが事故になります。だから機械に見張らせます。Dependabot（GitHub）や osv-scanner で、自分の依存に該当するCVEだけを自動通知させるのが現実的です。
QCVEは何の略ですか？
Common Vulnerabilities and Exposures の略で、『共通脆弱性識別子』と訳されます。1999年に始まった、公開された脆弱性に共通の番号を付けるための仕組み（CVEプログラム）です。運営は米国の非営利組織MITRE、資金は米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が出しています。
QCVEとNVD・JVNは何が違いますか？
CVEは番号と短い説明を管理する台帳です。NVDは米国NISTが運営するデータベースで、CVEにCVSSスコアや影響を受ける製品の情報を付け加えています。JVNはJPCERT/CCとIPAが運営する日本の脆弱性情報サイトで、国内製品の情報や日本語の解説があります。同じCVE番号で3つとも検索できます。
QCVE番号が付いていない脆弱性もありますか？
あります。修正済みでもCVEを申請していないもの、ベンダー独自の番号（セキュリティ情報の番号）だけのもの、GitHubのアドバイザリ番号（GHSA-...）だけのものなどです。CVEがないことは安全の証明にはなりません。依存パッケージの検査では、CVEに加えてGHSAなど複数の情報源をまとめて照合するosv-scannerのようなツールが役立ちます。