CVE
CVE（共通脆弱性識別子）は、CVE-2024-3094のように、公開された1つの脆弱性に付く一意のIDと短い公開レコードです。Common Vulnerabilities and Exposuresの略です。
最終更新日：2026年11月11日
CVEはCommon Vulnerabilities and Exposures（共通脆弱性識別子）の略です。CVEは、公開された1つのセキュリティ脆弱性に割り当てられる、CVE-2024-3094のような一意の識別子と、その脆弱性を説明する短いレコードです。CVEプログラムは、数百のCVE Numbering Authoritiesを通じてIDを発行しています。CVEが示すのはどの脆弱性かであり、どれほど深刻か、どう修正するかは示しません。
CVE IDの形式
CVE IDはCVE-YYYY-NNNNの形をとります。接頭辞、年、4桁以上の連番です。CVE-2021-44228はApache Log4jのLog4Shell、CVE-2024-3094は圧縮ライブラリxzのバックドアです。
年はIDが予約された年、または脆弱性が公開された年であり、発見や修正の年とは限りません。12月に予約され2月に公開されたIDは前の年のままなので、「2025年」のCVEが2026年に現れることがあります。
CVE IDを割り当てるのは誰か
CVEプログラムは1999年に創設されました。米国のCybersecurity and Infrastructure Security Agency（CISA）が後援し、MITREが事務局として運営し、CVE Boardが統治しています。
IDを割り当てるのはCVE Numbering Authorities（CNA）です。ソフトウェアベンダー、オープンソースプロジェクト、CERT、バグバウンティプラットフォーム、研究企業などが、合意された範囲（通常は自社製品）についてIDを割り当てます。MicrosoftはMicrosoft製品、Linuxカーネルプロジェクトはカーネル、GitHubはGitHub経由で報告するプロジェクトのIDを割り当てます。CVEのパートナー一覧には500を超える組織が載っています。RootsとTop-Level Roots（MITREとCISA）がCNAを募集・監督し、どのCNAの範囲にも入らない報告はCNA of Last Resortが引き受けます。**Authorized Data Publishers（ADP）**は、他の組織が公開したレコードに情報を追加します。たとえばCISAのADPは、SSVCの判断ポイントやKEVの状態を追加します。
自社製品の脆弱性にIDが必要な場合は、CVE IDとCNAを参照してください。
CVEレコードのライフサイクル
- 脆弱性が見つかり、ベンダーまたはCNAに報告されます。
- CNAがIDを予約します。多くの場合、脆弱性がまだ公開制限下にあり、修正が出る前です。
- CNAがレコードを公開します。説明、影響を受ける製品とバージョン、参考情報が含まれ、CVSSスコアとCWEを付けることもできます。
- 他の組織がレコードをエンリッチします。ADPがレコードにデータを追加し、NVD、EUVD、Linuxディストリビューションなどの下流のデータベースが、独自のスコア、製品名、修正状況を加えます。
- レコードは後で更新されることも、重複や脆弱性ではないと判明した場合に却下されることもあります。
レコードはCVE JSON 5形式で、cvelistV5リポジトリで公開されており、私たちのCVE公開動向もこのデータを使っています。
CVE、CVSS、CWE、NVD、EUVDの違い
| 用語 | 内容 | 運営 | 例 | 答える問い |
|---|---|---|---|---|
| CVE | 1つの脆弱性のIDとレコード | CVEプログラム | CVE-2024-3094 | どの脆弱性か |
| CVSS | 0〜10の深刻度スコアとベクター | FIRST | 10.0 Critical | 一般にどれほど深刻か |
| CWE | 弱点の種類のカタログ | MITRE | CWE-79（XSS） | どんな種類の誤りか |
| NVD | CVEレコードを補強するデータベース | NIST | CVSS、CWE、CPE | どの製品か、どれほど深刻か |
| EUVD | 欧州脆弱性データベース | ENISA | EUVD-2025-4893 | 同じ問題のEUでの見方 |
| GHSA | GitHub Security Advisories | GitHub | GHSA-hgfh-7qxq-x5c9 | どのパッケージバージョンか |
| OSV | オープンな形式とアドバイザリDB | OpenSSF、Google | GHSAなどを集約 | どのパッケージバージョンか |
- CVSS（FIRST、2023年11月からバージョン4.0）は深刻度を測るもので、リスクではありません。1つのCVEに、CNA、NVD、ディストリビューションなど複数のスコアが付くことがあります。
- CWE（cwe.mitre.org）は、クロスサイトスクリプティングや境界外書き込みなど、脆弱性の背後にある誤りを分類します。多くのCVEが同じCWEを共有します。
- NVDはCVEリストではありません。 NISTのNational Vulnerability Databaseは、公開されたCVEレコードを取り込み、スキャナーが製品照合に使うCPE名などの分析を加えます。CVEはCNAが公開した時点で存在し、NVDがエンリッチしたかどうかは関係ありません。
- EUVDはENISAのデータベースで、2025年5月13日から稼働しています（ENISA）。各項目にEUVD IDを付け、CVE IDとGHSA IDを別名として掲載します。ENISAは2024年1月からCNAでもあります。CRAのもとでは、Single Reporting Platformを通じて通知され修正済みとなった脆弱性が、後にEUVDで公開されることがあります。
- GHSAとOSVは製品ではなくエコシステムとパッケージ単位で整理されているため、コンポーネントのPackage URLと直接対応します。
CVEの上には、さらに2つのシグナルがあります。悪用されているかどうか（CISA KEV）と、悪用される可能性がどれほどあるか（EPSS）です。チームがこれらをどう組み合わせるかは脆弱性の優先順位付けで解説しています。
同じCVEがスキャンで何度も現れる理由
スキャナーが報告するのは検出結果であり、CVEではありません。複数のコンポーネントが同じライブラリを含む場合、複数の製品やイメージがそれを出荷している場合、あるいは2つのツールが異なるIDで報告する場合、1つのCVEが多数の検出結果になります。レポートの「400件のCVE」は、実際にはずっと少ない数の別個の脆弱性であることがよくあります。脆弱性ノイズの削減を参照してください。
2025年と2026年：資金問題とNVDの変更
- 2025年4月。 MITREはCVE Boardに、プログラム運営の契約が4月16日に切れると伝えました。CISAは一晩で契約を11か月延長し（The Record）、資金ではなく契約管理の問題だったと説明しました。CVE Boardのメンバーは、プログラムに独立したガバナンスを与えることを目的とする非営利組織CVE Foundationを発表しました。CVEレコードはその後も2026年11月まで途切れることなく公開されています。
- 2025年5月。 ENISAがEUVDを立ち上げました。欧州が米国主導の単一のプログラムへの依存を減らす手段として広く報じられました。
- NVD。 2025年4月、NISTは2018年より前に公開され、まだエンリッチ待ちだったCVEを延期扱いにしました。2026年4月15日からは、CISA KEVの項目を筆頭に優先基準を満たすCVEだけをエンリッチし、それ以外を「Lowest Priority - not scheduled for immediate enrichment」としています（NIST）。NVDのCPEデータだけで照合するツールは欠落が増えており、パッケージ単位の照合（OSV、GHSA、Package URL）はNVDへの依存が小さくなります。
CVEの公開件数
CVEプログラムは2024年に39,718件、2025年に47,801件のレコードを公開し、そのペースは今も上がり続けています。今年の件数を週別・CNA別に見るにはCVE公開動向を、この件数が小規模なチームにとって何を意味するかは脆弱性管理の自動化をご覧ください。個別ページのある最近の事例は脆弱性にまとめています。
CVEと自社のソフトウェア
どのCVEが自社に影響するかを知るには、まず各ビルドに実際にどのコンポーネントとバージョンが含まれているかを知る必要があります。ビルド時SBOMとそのCVEの影響を受けているかを参照してください。修正についてはCVEの修正、修正がまだない脆弱性はゼロデイ脆弱性、全体のプロセスは脆弱性管理で扱っています。CVEは脆弱性を説明するもので、エクスプロイトではありません。多くのCVEは一度も悪用されません。
CRACIは、各ビルドで記録したコンポーネントを公開済みの脆弱性と照合し、新しいCVEが出るたびに再評価します。