CVSSとCVEとは？

CVSSとCVEとは、CVEは個々の脆弱性に付ける世界共通の識別番号、CVSSはその深刻度を0.0〜10.0の数値で表す共通の評価手法。FEでは「番号で特定し、点数で優先順位を付ける」という役割の違いが問われる。

高度試験・午前I（全区分共通）の過去問では1回出題されています。

しーぶいえすえすとしーぶいいー

高度試験・午前I（全区分共通）の頻出用語／午前I（全区分共通）／別名：CVSS、CVE

CVSSとCVEの意味

CVEは個々の脆弱性に付ける世界共通の識別番号、CVSSはその深刻度を0.0〜10.0の数値で表す共通の評価手法。FEでは「番号で特定し、点数で優先順位を付ける」という役割の違いが問われる。

ある製品の脆弱性にCVE-2026-12345という番号が付き、CVSS基本値9.8（緊急）と評価される。組織はこの点数と自社での悪用可能性を踏まえ、該当製品を使うサーバへ最優先でパッチを適用すると判断する。

CVSSの基本評価基準は脆弱性そのものの性質だけを表し、自組織での実際の危険度は現状・環境評価基準まで見ないと分からない。点数が高くても該当機能を無効にしていれば影響が小さいこともある。

JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
正解：製品に含まれる脆弱性を識別するための識別子
要点：CVEは個々の脆弱性に付けられる世界共通の識別番号
CVEは、公表されたソフトウェア製品の脆弱性一つ一つに世界共通の識別番号を付ける仕組みである。番号で指せるようになるため、複数のベンダーや情報サイトの間で同じ脆弱性を取り違えずに参照できる。
出典：令和6年度秋期高度共通_午前I試験 am1 問14（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。