CVEとCVSSの違いとは？脆弱性の番号と深刻度の読み方

CVEは「どの脆弱性か」を特定するための番号、CVSSは「技術的にどれくらい深刻か」を共通の基準で評価する仕組みです。 名前は似ていますが、役割が違います。

たとえば「CVE-2026-109618、CVSS v4.0で9.2」とあれば、前半は問題を区別する名前、後半は評価の方式と点数です。9.2は高い深刻度を表しますが、被害に遭う確率が92％という意味ではありません。

この違いが分かると、ニュースとサーバー会社の告知が同じ問題について話しているのか、自分の環境で何を確認するべきかを読み取りやすくなります。

CVEとCVSSの違いを先に整理

まず、二つを横に並べてみます。

CVEはCommon Vulnerabilities and Exposures、CVSSはCommon Vulnerability Scoring Systemの略です。英語を全部覚える必要はありません。まずはCVEで同じ問題を探し、CVSSで深刻さを読むと押さえると、お知らせの中で使えます。

たとえば、ニュースとサーバー会社の告知に同じCVE番号があれば、同じ問題について話していると分かります。その問題がどれほど深刻かを見るのが、CVSSです。番号の長さと、点数の高さを比べるものではありません。

CVEとは？番号から分かること

CVEの識別番号は、「CVE」「年」「4桁以上の数字」という形です。CVE-2026-109618なら、2026が年、109618が識別のための番号部分です。

ここで気をつけたいのは、年の読み方です。CVE公式のFAQにある番号の説明では、番号を割り当てた年、またはそれより前に公開された場合は公開年を使うとされています。弱点が作り込まれた年や、初めて発見された年を示すものではありません。

後ろの数字が大きいから危険度が高いわけでもありません。「109618だから、その年に世界で確認された被害が109,618件」という読み方もできません。識別番号と、被害や公表の件数は別です。

実際に役立つのは、番号を照合するときです。ニュースで見た番号と、提供元の「修正済み一覧」にある番号が一致すれば、同じ問題を扱っている手がかりになります。複数のCVEが挙がっている場合は、一つだけではなく、必要な番号すべてを確認します。

「PHPに重大な問題」という見出しだけでは、過去の別の問題と混ざることがあります。名前が長くても、CVE番号があることで話題を絞れるのです。

CVSSとは？深刻度の点数を読む

CVSSは、攻撃の条件や、成功したときに生じる影響などを共通の基準で整理し、深刻度を数値で表します。計算方法には版があり、「v4.0」などの表記は、その評価方式の版です。PHPなど対象ソフトのバージョンではありません。

CVSS v4.0の点数は0.0から10.0までで、次の区分に対応します。区分と採点の定義は、策定団体FIRSTのCVSS v4.0仕様書で確認できます。

9.2は、最も高いCriticalの区分です。ただし、8.9なら放置してよい、という境界ではありません。点数は優先順位を考える材料の一つです。

評価には、弱点自体の基本的な性質を見るもののほか、攻撃の状況や利用環境を考慮するものもあります。ニュースで点数だけを読むと、その情報が省略されていることがあります。

CVSS 9.2は被害の確率ではない

天気予報の降水確率のように、CVSSを「自分に起きる確率」として読むことはできません。弱点そのものが深刻でも、自分のサービスがその弱点を持っているか、すでに修正されているかは、点数だけでは分からないからです。

たとえば、同じ弱点を持つ二つの環境を考えてみます。一方はインターネットからアクセスでき、まだ修正されていません。もう一方は提供元が修正を適用し、その反映も確認しています。同じCVEが話題でも、現在の状態は違います。

さらに、同じ攻撃が成功したとしても、扱う情報が公開済みの案内だけなのか、重要な個人情報なのかで影響は変わります。こうした条件を一つの基本スコアだけで全部表すことはできません。

ユイ

点数が高いと、うちも被害に遭ったように感じてしまいます。

マコト

点数は対応を急ぐ手がかりになるね。でも被害があったかは別の確認が必要なんだ。まず対象と修正状況を確かめよう。

「自分の環境次第」と聞いて、点数を気にしなくてよいと受け取るのも早計です。外部から攻撃できる重大な弱点なら、対象かどうかを速やかに確認する必要があります。点数を無視するのでなく、点数から次の確認へ進みます。

CVSSの評価が資料で違うとき

同じCVEを調べても、資料によって点数が違う場合があります。まず誤りと決める前に、何を比較しているかを見てみましょう。

• 評価方式の版：CVSS v3.1とv4.0では、採点の仕組みが異なります。
• 評価した組織：同じ版でも、想定する条件や解釈が違う場合があります。
• 評価の種類：弱点の基本的な性質だけか、攻撃状況や利用環境も含むかを確認します。
• 更新時点：追加の情報で評価が見直される場合があります。

点数だけを取り出して平均する必要はありません。「誰が、どの版で、どの条件について評価したか」を一組で読むと、違いを追えます。

告知に長い英数字の並びが付いていることもあります。これは採点に使った条件を示す表記で、ベクター文字列と呼ばれます。初めから全部を解読できなくても、公式説明にある「ネットワーク経由」「認証不要」「利用者の操作が不要」といった条件を読めれば、重要な意味をつかめます。

CVEとCVSSを使ったニュースの確認方法

ニュースを読んだら、番号と点数を、次の確認につなげてみてください。

1. CVE番号を控え、製品や提供元の公式告知で同じ番号を探す。
2. 対象の製品・版・構成が、自分の環境に当てはまるか確かめる。
3. CVSSの点数に加え、認証の要否や攻撃の観測など、説明された条件を読む。
4. 修正版の配布と、自分の環境への適用を分けて確認する。

ここまで分かれば、「9.2だから全部危険」「番号が古いから関係ない」といった早合点を減らせます。脆弱性という言葉から確認したい場合は、脆弱性の発見と被害の違いへ戻れます。

今回のPHPについては、2026年10月のPHP脆弱性と修正版で、CVE番号を実際の確認先につないでいます。番号を暗記することより、同じ問題を探す道具として使えることが大切です。