CVEとは？脆弱性の共通識別番号のしくみと活用

定義

CVE（Common Vulnerabilities and Exposures）とは、世界中で発見されるソフトウェアの脆弱性に付けられる共通の識別番号です。「CVE-2024-12345」のような形式で、ひとつの脆弱性をベンダー・研究者・診断ツールが同じ番号で参照できるようにする、脆弱性情報の世界共通の背番号です。

仕組み

脆弱性が発見・報告されると、採番機関を通じてCVE番号が割り当てられ、影響するソフトウェアとバージョン、問題の概要が公開データベースに登録されます。深刻度は別の指標であるCVSSスコア（0.0〜10.0）で評価され、「どのCVEが」「どれほど危険か」を組み合わせて判断します。

攻撃者も同じ情報を見ています。CVEが公開されると、そのバージョンを使い続けるサイトを探す自動スキャンが世界中から始まるため、「公開されたのに更新していない期間」がもっとも危険な時間になります。

実被害の傾向

公開済みCVEの放置は、攻撃側から見れば「答えが公開された問題」です。実際の侵害事故の多くは、未知の高度な攻撃ではなく、修正版が公開済みの既知CVEを放置したことが原因です。特にWordPressのプラグインは、CVE公開から攻撃開始までの時間が短い傾向があります。

対策

• 自サイトの構成を把握する：使っているCMS・プラグイン・サーバーソフトとバージョンが分からないと、CVEと突き合わせられない。
• 更新を習慣化する：修正版の適用が根本対策。すぐ更新できない場合は仮想パッチ等の緩和策で時間を稼ぐ。
• 脆弱性データベースとの照合：手動での追跡は現実的でないため、診断サービスやツールで定期照合する。

いま自分のサイトがどうなっているかは、Webサイトの脆弱性の確認方法の手順で確認できます。

サイトドックでの扱い

サイトドックの月次の定期診断は、既知の脆弱性パターン（nuclei）との照合に加え、WordPressと判定されたサイトでは本体・プラグインのバージョンを専用の脆弱性データベースと照合し、該当するCVEを確認します。

月額の自動修復では、すぐに更新できない脆弱性に対して仮想パッチ（攻撃リクエストをエッジで遮断する緩和策）を適用し、「公開されたのに更新できていない」危険な期間を短くします。根本対策である更新そのものが必要な場合は、診断結果で明示します。

対策の実施と運用まで任せる場合の仕組み・料金はサイトドックのご案内をご覧ください。

よくある質問

このページの要点

• CVEは脆弱性の世界共通の識別番号。深刻度は別指標のCVSSスコアで評価する
• 実際の侵害の多くは、修正版が公開済みの既知CVEの放置が原因
• 対策の基本は構成把握→更新の習慣化→データベースとの定期照合
• サイトドックは月次の定期診断でCVE照合（WordPressは専用DB照合）、自動修復（仮想パッチ）で更新までの危険な期間を短くする