PR

【サイバー防御実務入門 第12回】脆弱性管理｜CVE・CVSS・KEVで考える「何から直すか」

サイバー防御実務入門
この記事は約13分で読めます。

連載【サイバー防御実務入門】第12回

今回のゴール

  • 「脆弱性管理」が、更新作業を超えた一連の仕事であることを理解する
  • 脆弱性の番号「CVE」と、深刻度の物差し「CVSS」を読めるようになる
  • 「実際に悪用されているか」で優先順位をつける考え方（KEV）を知る
  • 日本の脆弱性情報サイト「JVN」で、自分の機器を調べてみる

はじめに：家庭なら「全部更新」、組織では？

第6回では、パソコンの更新を後回しにしてはいけない理由を、第7回ではルーターのファームウェア更新を学びました。家庭なら、答えはシンプルです。「自動更新をオンにして、来たものは全部当てる」。これで多くの場合は十分です。

ところが組織では、そう簡単にはいきません。何百台ものパソコン、何十台ものサーバー、業務用のソフト、ネットワーク機器……。毎月のように大量の脆弱性が発表され、更新すれば業務のシステムが動かなくなる心配もあります。全部を、すぐに、同時に直すことはできないのです。

では、何から先に直すのか。今回は、その「順番の決め方」を学びます。第2回で学んだ「リスクの大きいものから手を打つ」という考え方を、脆弱性に当てはめる回です。

1. 脆弱性管理は「回し続ける」仕事

脆弱性管理とは、単に更新プログラムを当てることではなく、次のような流れを繰り返し回し続ける仕事です。

①把握 → ②情報収集 → ③評価 → ④対処 → ⑤確認 → ①へ
段階 やること これまでの回との関係
①把握 どんな機器やソフトが、どのバージョンで動いているかを一覧にする 第2回の「情報資産リスト」
②情報収集 それらに関係する脆弱性が発表されていないかを調べる 今回のCVE・JVN
③評価 どれから直すべきか、優先順位をつける 今回のCVSS・KEV
④対処 更新する。すぐ更新できなければ、設定変更などの「回避策」で守る 第6回・第7回の更新
⑤確認 本当に直ったかを確かめ、一覧を最新にする —

特に大事なのが①の「把握」です。持っていることを知らない機器は、守りようがありません。第7回でルーターにつながっている機器の一覧を見たとき、思っていた以上の数に驚いた方も多いと思います。組織では、それが何百倍もの規模になります。

2. CVE：脆弱性の「共通の背番号」

世界中で見つかる脆弱性には、「CVE（シーブイイー）」という共通の番号が付けられます。たとえば次のような形式です。

CVE-2026-12345

「CVE-」のあとに登録された年と、通し番号が続きます（上の番号は説明のための例です）。米国のMITRE（第3回のATT&CKと同じ組織）が中心となって運営している仕組みで、メーカー、セキュリティ会社、ニュースが、同じ番号で同じ脆弱性を指せるようになっています。

セキュリティのニュースで「CVE-◯◯◯◯-◯◯◯◯◯の脆弱性が悪用されている」といった表現を見かけたら、世界共通の背番号で呼ばれていると考えればよいわけです。

3. CVSS：深刻度の「物差し」

次に、その脆弱性がどれくらい危ないのかを表すのが「CVSS（共通脆弱性評価システム）」です。国際的な団体FIRSTが管理していて、深刻度を0.0〜10.0の数字で表します。現在は2023年に公開された第4版（CVSS v4.0）が最新版で、旧版の3.1も広く使われています。

スコア 深刻度
9.0〜10.0 緊急（Critical）
7.0〜8.9 重要（High）
4.0〜6.9 警告（Medium）
0.1〜3.9 注意（Low）

※日本語の深刻度の呼び方は、情報源によって異なる場合があります。

スコアは、たとえば次のような観点を組み合わせて計算されます。

  • どこから攻撃できるか：インターネット越しに攻撃できるのか、その機器の前に座らないと攻撃できないのか。
  • 攻撃の難しさ：特別な条件が必要か、誰でも簡単にできるのか。
  • ログインが必要か：攻撃者が事前にアカウントを持っている必要があるか。
  • 利用者の操作が必要か：誰かがファイルを開くなどの行動が必要か。
  • 影響の大きさ：第2回の機密性・完全性・可用性が、どれくらい損なわれるか。

つまり、「インターネットから、ログインなしで、誰でも簡単に、乗っ取れる」脆弱性ほど、スコアは10に近づきます。第4回で学んだ「外に向けて開けている窓口」の弱点が特に危ないのは、このためです。

⚠ CVSSの点数だけで決めない
CVSSは便利な物差しですが、「その脆弱性そのものの深刻さ」を表すもので、「自分の組織にとっての危なさ」までは表しません。たとえば、点数が9.8でも、その機能を使っていなければ影響は小さくなります。逆に、点数が7台でも、インターネットに公開している大事なサーバーにあるなら、急いで直すべきです。第2回の「リスク＝起こりやすさ×影響」の考え方で、自分の環境に当てはめて判断する必要があります。

4. KEV：「実際に悪用されているか」という決め手

毎年発表される脆弱性の数は膨大で、「重要」以上のものだけでも、とても全部をすぐには直せません。そこで近年、優先順位の決め手として重視されているのが、「その脆弱性は、実際に攻撃に使われているか」という観点です。

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用が確認された脆弱性の一覧を「KEV（ケブ）カタログ」として公開しています。米国の政府機関には、ここに載った脆弱性を期限内に直すことが求められており、民間の組織でも優先順位づけの参考として広く使われています。

さらに、「この先30日以内に悪用される可能性」を確率で示すEPSSという指標もあり、CVSSと同じFIRSTが公開しています。

指標 答えてくれる問い
CVSS もし悪用されたら、どれくらい深刻か？
KEV すでに実際に悪用されているか？
EPSS これから悪用されそうか？

まとめると、組織での優先順位は、おおむね次のように考えられます。

  1. 最優先：実際に悪用されていて（KEVに載っている）、インターネットに面した機器にある脆弱性
  2. 次に：深刻度が高く（CVSSが高い）、悪用されそうな（EPSSが高い）脆弱性
  3. 計画的に：それ以外の脆弱性は、定期的な更新の中で順次対処
🕵 攻撃者はこう考える
第6回で、修正プログラムが公開されると、更新していない機器は「弱点の場所が公表された状態」になる、という話をしました。攻撃者は、新しく発表された脆弱性の中から、「インターネットに面していて、たくさんの組織が使っている製品」のものを選んで、すぐに攻撃の道具を用意しようとします。第1回の「1日1万回以上の探索アクセス」は、そうした弱点を持つ機器を探すノックでもあります。警察庁の報告書で、ランサムウェアの侵入経路の約5割がVPN機器だったのも、この狙い方と重なります。だから守る側は、「外に面した機器の、悪用されている脆弱性」から真っ先にふさぐのです。

5. 日本語で調べるなら「JVN」

英語の資料が多い脆弱性情報ですが、日本には「JVN（Japan Vulnerability Notes）」という心強い情報源があります。JPCERT/CC（JPCERTコーディネーションセンター）とIPAが共同で運営していて、日本で使われている製品の脆弱性情報や、メーカーの対策情報を日本語で公開しています。

  • JVN：国内の製品開発者と調整した脆弱性情報や、その対策を掲載しています。日本のルーターやソフトの情報も多くあります。
  • JVN iPedia：国内外の脆弱性情報を集めたデータベースで、製品名などで検索できます。

JVNのページには、多くの場合、CVE番号、CVSSのスコア、影響を受ける製品とバージョン、対策の方法がまとめて書かれています。今回学んだ言葉が、そのまま並んでいるはずです。

6. やってみた：自分のルーターの脆弱性を調べる

第4回でメモし、第7回で点検したルーターの機種名を使って、JVNで調べてみましょう。

  1. JVNのサイトを開く：ブラウザで「JVN」と検索するか、記事末の参考資料のアドレスから開きます。
  2. メーカー名や機種名で検索する：サイト内の検索欄に、ルーターのメーカー名や機種名を入れます。JVN iPediaでも検索できます。
  3. 見つかった情報を読む：もし該当する情報があれば、次の点を確認します。
    • CVE番号とCVSSのスコア（深刻度）
    • 影響を受けるファームウェアのバージョン
    • 対策（修正版のファームウェアがあるか、サポートが終了していないか）
  4. 自分のルーターと見比べる：第7回で確認したファームウェアのバージョンが、対策済みのものかどうかを確かめます。
読むときのポイント

  • 検索で何も出てこなくても、「脆弱性がない」とは限りません。「まだ見つかっていない」「報告されていない」可能性もあります。
  • 脆弱性の情報が見つかっても、慌てなくて大丈夫です。対策済みのバージョンに更新されていれば、その脆弱性はふさがれています。
  • 「サポート終了のため修正予定なし」と書かれている場合は、第7回で学んだとおり、買い替えを検討するタイミングです。

用語メモ

脆弱性管理
機器やソフトの把握、脆弱性の情報収集、評価、対処、確認を繰り返し回し続ける仕事。
CVE
世界中の脆弱性に付けられる共通の識別番号。「CVE-年-通し番号」の形式。
CVSS
脆弱性の深刻度を0.0〜10.0で表す共通の評価方法。最新版は第4版（v4.0）。
KEVカタログ
米国CISAが公開している、実際に悪用が確認された脆弱性の一覧。
EPSS
脆弱性がこの先30日以内に悪用される可能性を確率で示す指標。
JVN／JVN iPedia
JPCERT/CCとIPAが運営する、日本語の脆弱性情報サイトとデータベース。
回避策（緩和策）
すぐに更新できないとき、設定変更や機能の停止などで、ひとまず攻撃を受けにくくする対処。

まとめと、今日からできること

  • 脆弱性管理は、把握→情報収集→評価→対処→確認を回し続ける仕事。まず「何を持っているか」を知ることから。
  • CVEは世界共通の背番号、CVSSは深刻度の物差し。ただし点数だけで判断しない。
  • 優先順位の決め手は、「実際に悪用されているか（KEV）」と「外に面しているか」。
  • 日本語で調べるならJVN。自分の機器の名前で検索できる。
  • 家庭では、引き続き「自動更新をオンにして、来たものは全部当てる」が基本。
✅ 今日からできること

  1. JVNで、自宅のルーターのメーカー名を検索してみる：今回の用語が実際にどう使われているかを見てみましょう。
  2. 家のネットにつながる機器の「機種名とバージョン」を一覧にする：第2回の情報資産リストに書き足せば、それが家庭版の「脆弱性管理」の第一歩です。
  3. セキュリティのニュースで「CVE」の文字を探してみる：番号とCVSSのスコアに注目すると、記事の読み方が変わります。

参考資料

  • JVN（Japan Vulnerability Notes）
    https://jvn.jp/
  • JVN iPedia 脆弱性対策情報データベース
    https://jvndb.jvn.jp/
  • CVE Program
    https://www.cve.org/
  • FIRST「Common Vulnerability Scoring System (CVSS)」
    https://www.first.org/cvss/
  • FIRST「Exploit Prediction Scoring System (EPSS)」
    https://www.first.org/epss/
  • CISA「Known Exploited Vulnerabilities Catalog」
    https://www.cisa.gov/known-exploited-vulnerabilities-catalog
  • 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
    https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf

※本記事は2026年11月時点の情報をもとに作成しています。

スポンサーリンク
タイトルとURLをコピーしました