読み：しーぶいいー ／ 分野：IT・システム
CVEとは、世の中で見つかったソフトウェアの脆弱性に付けられる共通の識別番号のことです。
CVEとは、ソフトウェアやシステムに見つかった脆弱性（セキュリティ上の弱点）一つひとつに割り振られる、世界共通の識別番号です。番号を使うことで、異なる会社や製品の間でも同じ脆弱性を正確に指し示せます。
意味
CVEは「Common Vulnerabilities and Exposures」の略で、脆弱性情報を一意に識別するための仕組みです。米国の非営利団体が運営し、ソフトウェアベンダーやセキュリティ研究者からの報告をもとに登録されます。番号は「CVE-発見年-通し番号」という形式で表記され、例えば特定の年に見つかった脆弱性には、その年を含む番号が付きます。登録された脆弱性には、深刻度を示す指標（CVSSと呼ばれる採点基準）が併せて示されることが多く、対応の優先順位を判断する材料になります。CVE番号があることで、使用しているソフトウェアに脆弱性が見つかったかどうかを、ニュースやベンダーの発表、セキュリティ機関の注意喚起などから正確に照合できます。
使われる場面と具体例
- 情報システム担当者が、利用中のソフトウェアの修正プログラム（パッチ）を適用する際、どのCVE番号に対応する修正かを確認し、自社に影響があるか判断します。
- セキュリティベンダーが、脆弱性診断の報告書の中で発見した問題にCVE番号を記載し、依頼元の企業が対応の緊急度を把握できるようにします。
- ニュースやセキュリティ機関の注意喚起で特定のCVE番号が話題になった際、自社が同じ製品やバージョンを使っていないかを確認する目的で参照します。
中小企業が押さえたい点
- 自社で使っているソフトウェアやサービスのベンダーから、CVE番号付きの脆弱性情報やアップデート案内が届いた場合は、速やかに内容を確認する体制を整えておくことが望ましいです。
- CVSSなどの深刻度情報も合わせて確認し、影響の大きいものから優先して対応する判断材料にします。
- 自社だけで判断が難しい場合は、保守契約を結んでいるSIerやシステム会社に、該当するCVEへの対応状況を問い合わせる窓口を決めておくと安心です。
よくある誤解
- CVE番号が付いた脆弱性はすでに危険な攻撃を受けているという意味ではありません。あくまで「存在が確認され、公開された」という段階を示すものです。
- CVE番号があれば自動的に修正されるわけではなく、ベンダーが提供する修正プログラムを自社で適用して初めて対策が完了します。
よくある質問
Q. CVE番号は誰でも確認できますか。
A. 公開されているデータベースで誰でも検索でき、脆弱性の概要や関連情報を確認できます。
Q. CVE番号がないソフトウェアは安全ということですか。
A. いいえ、単に脆弱性が未発見か未登録であるだけの可能性があり、安全性を保証するものではありません。
Q. 中小企業はCVE情報をどう活用すればよいですか。
A. 自社が使う主要なソフトウェアに関する情報だけでも定期的に確認し、該当するものがあれば優先的に更新作業を進めることが現実的です。
関連する用語
関連記事
- PHPの緊急脆弱性（CVE-2026-109618／109619）とは？影響する環境とサイト運営者がやるべき対策
- 【🚨緊急】Node.jsに重大な脆弱性、今すぐバージョン確認を【CVE-2026-111497ほか】
ほかの用語を探す
