CVEとは？

CVE（Common Vulnerabilities and Exposures）は、ソフトウェアやハードウェアに発見されたセキュリティ上の脆弱性を、世界共通の識別番号で管理するための体系です。米国の非営利研究機関MITREが管理し、米国国立標準技術研究所（NIST）のNational Vulnerability Database（NVD）と連携して運用されています。

CVEの識別番号は「CVE-年号-連番」という形式で表記されます（例：CVE-2021-44228）。この番号が付与されることで、同じ脆弱性について世界中のセキュリティ研究者・ベンダー・ユーザーが共通の言葉で語り合えるようになります。

CVEの重要性は以下の点にあります。

• 脆弱性情報の標準化により、情報共有と対策が迅速化される
• 脆弱性スキャナや侵入テストツールがCVE番号を基準に検査できる
• CVSS（共通脆弱性評価システム）スコアと組み合わせて深刻度を定量化できる
• パッチ適用の優先順位付けに活用できる

新たな脆弱性が発見されると、CVE番号を付与する権限を持つ機関（CNA：CVE Numbering Authority）が審査・採番を行います。ベンダーや研究機関がCNAとして認定されているケースも多く、Apache Software FoundationやMicrosoftなども自社製品の脆弱性についてCVE番号を付与しています。セキュリティ担当者にとってCVEは日常的に参照する重要な情報源です。