CVE公開件数のトレンド

2025年に公開されたCVEレコードは47,801件で、前年比20%増でした。2026年は、まだ数か月を残して、すでに95,494件に達しています。

CVEプログラムの開始以来、件数は毎年増加していますが、2026年に増加ペースが大きく変わりました。上のグラフで、月、四半期、年ごとのトレンドをご確認いただけます。

このページで確認できます。上のグラフと数値は、CVEプログラムのcvelistV5リポジトリ（CVEプログラム自身が公開に使っているのと同じソース）から毎日再構築しているCVE統計です。

CVSS深刻度別、採番組織別、週・月・四半期・年ごとの公開件数に加え、最新のCriticalなレコードを掲載しています。個別の脆弱性の詳細は、各識別子からcve.orgでご確認ください。

3つのことが同時に起きており、公開されたレコードからはそれらを切り分けられません。

CVE IDを採番できる組織が増えたため、以前は登録されなかった脆弱性が記録されるようになっています。自動化やAIを活用した脆弱性発見により、1人の研究者が見つけられる量が増えています。そしてCISAの補完プログラムが古いレコードに詳細をさかのぼって追加しており、過去の数値が後から変わります。

したがって、CVE件数の増加そのものは、ソフトウェアの安全性が低下している証拠にはなりません。ただし、手作業のプロセスにかかる作業量は変わります。CVEが増え続けるときに何を自動化すべきかをご覧ください。

CNAとは、自らの範囲内（通常は自社製品）でCVE IDを採番し、レコードを公開する権限を持つ組織です。このデータセットには505のCNAが含まれています。

ベンダー、オープンソースプロジェクト、バグバウンティプラットフォーム、各国のCERTなどがCNAとして活動しています。このデータセットで最大のCNAはmitreで、レコードは39,628件です。1つのCNAがプロセスを変えるだけで合計が目に見えて動くことがあるため、グラフでは組織を1つずつ絞り込めるようにしています。

CVSSは脆弱性を0.0から10.0でスコア化し、Low（0.1-3.9）、Medium（4.0-6.9）、High（7.0-8.9）、Critical（9.0-10.0）の区分に分類します。

このスコアは、脆弱性にどのように到達するか、何が侵害されるかといった本質的な技術的特性を表すものです。特定の組織がどの程度のリスクにさらされているかを測るものではありません。

2020年以降に公開されたレコードの17.4%は、CNA自身のデータにもCISAの補完にもCVSSスコアがありません。

CVEプログラムの歴史の大半において、スコアの付与は必須ではありませんでした。2023年以降は付与率が急速に向上し、現在ではほぼすべてに付与されているため、グラフ上でUnknownの帯が縮小しているのは報告慣行の変化を反映したものであり、脆弱性そのものの変化ではありません。スコアのないレコードを無視した分析では、過去の年が過小評価されます。

脆弱性はソフトウェアの欠陥です。CVEは、公開された特定の脆弱性に割り当てられる公開識別子です。

ほとんどの脆弱性にはCVEが付与されません。社内で発見・修正されるか、どのCNAの範囲にも入らないためです。したがってCVE件数が示すのは開示の活動量であり、実際に存在する欠陥の量ではありません。

すべての数値は、CVEプログラムの公式cvelistV5リポジトリから、2026/11/12 UTCに取得したスナップショットを使って作成しています。

レコードの約5分の1は識別子に含まれる年とは異なる年に公開されているため、CVE IDの年ではなく公開日で集計しています。却下・取り下げられたレコードは除外しています。

それだけでは判断できません。出荷はしているものの一度も呼び出さないコンポーネントのCriticalな脆弱性は、公開APIにあるMediumの脆弱性よりも緊急度が低い場合があります。

実際の優先順位付けには、影響を受けるコンポーネントが自社のソフトウェアに含まれているか、脆弱なコードに到達可能か、その脆弱性が悪用されているかを知る必要があります。CVSSはそのいずれにも答えません。

CRAは製造者に対し、製品のサポート期間全体にわたって脆弱性に対応すること、積極的に悪用されている脆弱性を認識してから24時間以内にENISAへ報告すること、技術文書を最新の状態に保つことを求めています。

これらの義務は、このグラフの件数に比例して重くなります。年間数万件の新しいレコードを自社のソフトウェアと手作業で照合してトリアージするのは現実的ではありません。そのためCRAは、事実上SBOMと自動化された照合プロセスを前提としています。

ソフトウェアに何が含まれているかの正確なインベントリと、そのインベントリをCVEフィードと継続的に照合する仕組みが必要です。

CRACIはビルドからSBOMを生成し、新しいCVEレコードが公開されるたびに照合して、実際に出荷するコードに届くアドバイザリーだけを表示します。CRAが保管を求める文書も併せて提供します。

脆弱性トラッキングが実際にどのように機能するか、その周辺で何を自動化すべきか、そして残ったもののノイズを減らす方法をご覧ください。