もう少し詳しく

「CVE」は、Common Vulnerabilities and Exposures（共通脆弱性識別子）の略で、世界中の組織が発見したソフトウェアの脆弱性に対して割り振られる、共通の番号です。「CVE-2026-12345」のように、発見された年と通し番号を組み合わせた形式で表記されます。同じ脆弱性について複数の組織がばらばらの呼び方をしてしまうと混乱が生じるため、CVE番号を共通の合言葉として使うことで、世界中のセキュリティ関係者が同じ脆弱性について正確に情報交換できるようになっています。

どこで使われるか

ソフトウェアの開発元がセキュリティ情報を公表するとき、JPCERT/CCやIPAが注意喚起を出すとき、ニュースメディアが脆弱性を報じるときなど、脆弱性に関するあらゆる場面でCVE番号が使われます。日本国内向けの脆弱性情報データベース「JVN」も、CVE番号と対応づけて情報を管理しています。

身近な例

「Webブラウザのアップデートで多数の脆弱性を修正」といったニュースでは、修正された脆弱性それぞれにCVE番号が割り振られています。深刻な脆弱性ほど、ニュース記事の見出しにも「CVE-2026-XXXXX」という形でCVE番号が明記されることが多く、同じ脆弱性についての続報を追う際の手がかりになります。

注意点

CVE番号が割り振られているからといって、すべての脆弱性が同じくらい危険というわけではありません。危険度の目安には、共通脆弱性評価システムきょうつうぜいじゃくせいひょうかしすてむ（CVSS）と呼ばれる別の指標が使われ、0〜10点のスコアで深刻度が示されます。CVE番号を見かけたときは、番号そのものよりも、対象となる製品・バージョンが自分の使っているものに当てはまるか、CVSSスコアがどの程度かを確認することが大切です。