CVEとは（全体像）
ソフトには、ときどき脆弱性（攻撃に悪用されうる弱点）が見つかる。世界中で次々に見つかるので、どの弱点の話かをはっきりさせる共通の呼び名が必要になる。
そこで使うのがCVE（Common Vulnerabilities and Exposures）。ひとつの脆弱性に、世界共通の通し番号（ID）を付ける仕組みだ。これで、国や会社が違っても「CVE-2024-12345の件」と言えば同じ弱点を指せる。
押さえるのは、CVEはあくまで「番号」であって、弱点を直したわけではないこと。直すのはパッチ（修正プログラム）の役目だ。
詳しく：形式と関連のしくみを押さえる
ここが心臓部。CVEと、その周りのしくみを整理する。
CVEと関連するしくみ
| 名前 | 役割 |
|---|---|
| CVE | 脆弱性に世界共通の番号を付ける（CVE-年-連番）。MITREが運営 |
| CVSS | その脆弱性の深刻度を点数で表す |
| CWE | 脆弱性の種類を分類する |
| NVD（米）／JVN（日） | CVEの詳細情報を載せるデータベース |
言葉を噛み砕いておく。
- CVEは「番号」であって修正ではない … CVEが付いた＝直った、ではない。番号は「この弱点があるよ」という目印で、直すにはパッチを当てる必要がある。
- 形式 … 「CVE-2024-12345」のように、CVE-年-連番で表す。近年は数が急増し、2024年は2万6千件を超えた（件数は年々変わるので受験年度で確認するとよい）。
- NVDとJVN … NVDは米国（NIST）が出す詳細データベース、JVNは日本語で情報を提供する。CVEそのものとは別だが、CVE番号でたどれる。
わかりやすく言い換えると
つまり、CVEは弱点に付ける「世界共通の管理番号」にたとえるとスッと入る。
図書館で本に通し番号を付けると、どの本の話か一発で伝わる。同じように、世界中で見つかった弱点にCVE-2024-12345のような番号を付ければ、国や会社が違っても同じ弱点をぴたりと指せる。
大事なのは、番号を付けること＝弱点を直すこと、ではないという点。番号は「ここに弱点があるよ」という目印で、実際に直すのはパッチ。番号から、NVD（米）やJVN（日本語）で詳しい情報も調べられる、というわけだ。
試験のツボ
🔴 一番出る：CVEは識別子（番号）
①脆弱性に世界共通の番号を付ける仕組み（CVE-年-連番）
②番号＝修正済みではない（直すのはパッチ）
🔴 次に出る：関連するしくみ
①深刻度はCVSS・種別はCWE
②詳細はNVD（米）やJVN（日本語）で調べられる
🟡 押さえると安定：運営はMITRE。近年は件数が急増（受験年度で最新を確認）
よくある間違い
①「CVEが付いた脆弱性は、もう修正済みということだ」→ ✗ CVEは番号（識別子）。修正されたという意味ではなく、直すにはパッチが必要。
②「NVDとCVEはまったく同じものだ」→ ✗ NVDはCVEの詳細を載せたデータベース。CVE番号でたどる別のしくみ。
③「CVEは深刻度の点数のことだ」→ ✗ 深刻度の点数はCVSS。CVEは弱点を指す番号で、役割が違う。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（CVEの役割）
CVEに関する次の記述のうち、正しいものはどれか。
- CVEは脆弱性を自動で修正するプログラムのことで、番号が付いた時点で弱点は直っているとされている
- CVEは通信を暗号化するための鍵の規格で、脆弱性に番号を付けることとは無関係であるとされているのだ
- CVEはソフトの値段を決めるための価格表のことで、セキュリティの弱点とはいっさい関係しないとされているものだ
- CVEは見つかった脆弱性に世界共通の番号（CVE-年-連番）を付ける仕組みで、MITREが運営している
解答は 4 である。
CVEは、見つかった脆弱性に世界共通の番号（CVE-年-連番）を付ける仕組みで、MITREが運営する。番号があれば、世界中で同じ弱点を指せる。
選択肢1は「自動で修正する・直っている」が誤りで、CVEは番号にすぎない。選択肢2の暗号化の鍵、選択肢3の価格表も誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | CVEは番号で、修正プログラムではない |
| 2 | ✗ | 暗号化の鍵の規格ではない |
| 3 | ✗ | 価格表ではない |
| 4 | ✓ | 世界共通の番号を付ける仕組みで正しい |
オリジナル問題2（番号と修正の関係）
CVEと脆弱性の修正に関する次の記述のうち、正しいものはどれか。
- CVEは番号（識別子）であって修正済みを意味せず、実際に直すにはパッチを当てる必要があるとされている
- CVEが付くと弱点はその場で自動的に直るため、パッチを当てる作業はいっさい不要になるとされているのだ
- CVEは弱点を直すための作業手順書そのもので、番号を読むだけで修正が完了するしくみとされているものだ
- CVEは弱点を世間に知られないよう隠すための仕組みで、番号は外部に公開されないとされているのが実情だ
解答は 1 だ。
CVEは番号（識別子）であって、修正済みを意味しない。番号は「ここに弱点がある」という目印で、実際に直すにはパッチを当てる必要がある。
選択肢2は「自動で直る」が誤り。選択肢3は「番号を読むだけで修正完了」が誤り。選択肢4は「隠す・公開されない」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 番号であって修正はパッチで正しい |
| 2 | ✗ | 自動では直らない |
| 3 | ✗ | 番号を読むだけでは直らない |
| 4 | ✗ | 隠す仕組みではなく公開される |
オリジナル問題3（関連するしくみ）
CVEと関連するしくみに関する次の記述のうち、正しいものはどれか。
- CVEの深刻度はCVE自身が点数で表すため、CVSSという別の指標はいっさい使われないとされているのが実情だ
- NVDはCVEとまったく無関係の規格で、CVE番号から詳細をたどることはできないとされているものである
- 脆弱性の深刻度はCVSS、種別はCWEで表され、詳細はNVD（米）やJVN（日本語）で調べることができる
- JVNは日本の脆弱性だけに付ける番号そのもので、CVEとは別の通し番号を独自に発行するとされているのだ
解答は 3 だ。
脆弱性の深刻度はCVSS、種別はCWEで表され、詳細はNVD（米）やJVN（日本語）で調べられる。CVEの番号を入り口に、これらでくわしく確認できる。
選択肢1は「CVE自身が点数で表す」が誤りで、点数はCVSS。選択肢2は「NVDは無関係」が誤り。選択肢4はJVNを独自番号の発行とする誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 深刻度の点数はCVSS |
| 2 | ✗ | NVDはCVE詳細をたどれる |
| 3 | ✓ | CVSS・CWE・NVD/JVNの役割で正しい |
| 4 | ✗ | JVNは日本語の情報提供で独自番号ではない |
まとめ
押さえどころ
- 🔴 CVE ＝ 脆弱性に世界共通の番号（CVE-年-連番）を付ける仕組み。MITREが運営。
- 🔴 CVEは番号であって修正済みではない。直すのはパッチ。
- 🟡 深刻度はCVSS、種別はCWE、詳細はNVD（米）・JVN（日）。件数は近年急増（受験年度で確認）。
次に学ぶ
- NWセキュリティ（FW・IDS/IPS・WAF） ── 脆弱性をねらう攻撃を、入口で防ぐしくみ。
- ゼロトラスト認証（条件付きアクセス） ── 弱点を悪用されにくくする、現代の守りの考え方。
- 認証要素・MFA（多要素認証） ── 攻撃に強くするための、本人確認のしくみ。
執筆: SikakuQuest編集部