CPEとは？セキュリティ識別子・ネットワーク機器・CPEクレジットの違いと使い分け

CPEは分野によって指すものが変わる略語です。脆弱性管理では製品を一意に表す識別子「Common Platform Enumeration」、通信・ネットワークでは利用者宅に置く「顧客構内設備（Customer Premises Equipment）」、セキュリティ資格では継続教育の単位「CPEクレジット」を指します。この記事では、まず目の前のCPEがどれなのかを見分ける表を示し、続いてネットワーク機器としてのCPEを、最後に本記事の主題であるセキュリティ識別子としてのCPEを、書式・調べ方・CVEとの関係・2026年の運用変化まで順に扱います。

まとめ

• セキュリティのCPEはNISTが管理する製品識別子です。cpe:2.3:a:microsoft:internet_explorer:8.0.6001:beta:*:*:*:*:*:* のように、種別・ベンダー・製品・バージョンなど11属性を固定順で並べます。現行仕様は2.3で、後継の3.0は仕様本文がまだありません。
• ネットワークのCPEは利用者宅に置かれる通信機器（ONU、ホームゲートウェイ、ルータ、セットトップボックスなど）で、事業者と利用者の責任分界点になります。ONUはCPEの一種です。
• 資格のCPEは継続教育の単位で、CISSPは3年間で120CPEと年135米ドルの維持費が必要です。
• CVEは「脆弱性」のID、CPEは「影響を受ける製品」の名前です。NVDはCVEにCPEマッチ文字列を付け、該当製品とバージョンを機械可読にしてきました。
• NVDは2026年4月15日から、KEV掲載・連邦政府利用・大統領令14028の重要ソフトウェアに当たらないCVEのエンリッチを後回しにしました。2026年9月公開のCVEを抽出して確かめると、NVDがCPEを付けていたのは約4割でした。CPE照合だけの脆弱性管理は取りこぼします。
• OSSはpurl、商用製品やハードウェアはCPEが得意です。SBOMには両方を書き、CVEレコードの affected 情報も照合に使います。

以下、意味の見分け方から順に説明します。

CPEの意味の見分け方：分野ごとの正式名称と周辺語

同じ3文字でも、分野が違えば無関係な概念です。読んでいる文書のCPEがどれかは、近くに出てくる語でほぼ判別できます。

IT担当者が混同しやすいのは上の3つです。「脆弱性」「CVE」と並んでいればセキュリティ識別子、「回線」「宅内」「事業者」と並んでいればネットワーク機器、「取得する」「貯める」と動詞が付いていれば資格の単位と判断できます。

資格のCPE：CISSPの維持要件

セキュリティ資格や国際会計資格の維持に必要な継続教育の単位です。ISC2の会員規程では、CISSPの維持に3年間で120CPEが必要で、年40CPEは推奨値という位置づけです。加えて、年会費（AMF）としてCISSP保有者は年135米ドルを支払います。取得計画はCISSPの勉強方法｜勉強時間・教材・8ドメイン対策と2027年4月の試験改定【2026年版】で扱っています。

広告・医療・英語検定におけるCPEの意味の違い

広告のCPEは、いいね・シェア・動画視聴など反応1件あたりの単価です。計算式や媒体ごとの課金対象はCPE（エンゲージメント単価）とは？計算式と媒体別の課金対象・CPC/CPAとの違いで詳しく扱っています。

医療のCPEはカルバペネマーゼという酵素を作る腸内細菌目細菌です。日本では「カルバペネム耐性腸内細菌目細菌感染症（CRE感染症）」として5類感染症の全数把握対象です。届出基準では、薬剤感受性の基準を満たさなくても、所定の検査でカルバペネマーゼ産生またはその遺伝子が確認され、症状や所見から感染症と診断された患者であれば対象に含まれます。同じ基準は、無症状で腸管などに保菌されることも多いと説明しています。英語検定のCPEはケンブリッジ英検の最上位級の旧称で、Cambridge Englishの案内では現在の名称はC2 Proficiencyです。いずれもIT分野のCPEとは関係ありません。

ネットワークのCPE：顧客構内設備と責任分界点

JPNICの用語解説によると、CPEは利用者の敷地内にある通信設備で、電話機、ブロードバンドルータ、ケーブルモデム、セットトップボックスなどを含みます。JPNICは、前置きなしに「CPE」と言う場合は利用者宅のルータを指すことが多く、このルータを境にインターネット側を事業者、宅内側を利用者が受け持つと説明しています。SD-WANやマネージドルータのサービス資料に出てくる「CPE」もこの意味です。

CPEに含まれる機器：ONU・ホームゲートウェイ・ルータ・STB

どの機器がCPEに入るかは事業者によって少し異なります。事業者が貸与した機器だけをCPEと呼ぶ契約もあれば、利用者が自分で買ったルータも含めて呼ぶ場合もあります。JPNICは、近年はセキュリティ対策やIPv6対応の文脈で、事業者が利用者に提供したルータを指してCPEと呼ぶことが増えていると説明しています。交換やファームウェア更新の責任がどちらにあるかを確認するときは、「貸与品か持ち込み品か」で切り分けてください。

ONUとCPEの違い

ONUとCPEは並列の概念ではありません。CPEは宅内に置く通信機器の総称で、ONUはその一種です。光回線ではONUが回線の終端を担い、その後ろにルータやホームゲートウェイが続きます。ONUは事業者の回線仕様に依存するため一般にはあまり市販されず、事業者から借りるか買い取るのが基本です。「CPEを交換する」と言われたら、ONUだけなのかルータまで含むのかを契約書の機器一覧で確かめる必要があります。

TR-069とTR-369によるCPEの遠隔管理

通信事業者が大量の宅内機器を設定・更新する仕組みとして、Broadband ForumのTR-069（CWMP）があります。TR-069はCPEを「TR-069に準拠した機器」と定義し、CPEとACS（Auto-Configuration Server）の間で自動設定や管理を行うプロトコルを定めています。事業者がルータのファームウェアを一斉に更新できるのはこの仕組みのおかげです。

後継はTR-369（USP：User Services Platform）です。Broadband Forumの技術ライブラリでは2026年2月のAmendment 5が有効版で、USPの仕様サイトが示す現行のプロトコル版は1.5です。ここにセキュリティのCPEとの接点があります。宅内ルータの脆弱性情報は、NVDではハードウェア（h）やOS（o）のCPE名で表されます。宅内機器を管理する立場であれば、機器の型番とファームウェア版を後述のCPE辞書の表記で台帳に持っておくと、脆弱性情報との照合が速くなります。

Common Platform EnumerationとSCAPの関係

ここからはセキュリティのCPEを扱います。CPEはSCAP（Security Content Automation Protocol）を構成する仕様のひとつで、製品の命名に加え、名前の照合、辞書、適用条件の表現を定めます。CPEそのものは脆弱性を検知しません。脆弱性の識別はCVE、弱点の分類はCWE、深刻度の点数化はCVSSが担い、CPEはそれらを自社の資産に結び付ける役を持ちます。

例として、資産台帳に「Apache HTTP Server 2.4.62」があり、CVE告知に「2.4.0以上2.4.63未満が影響」（説明用の仮の範囲）と書かれている場面を考えます。台帳側の製品名がCPEで書かれ、対象バージョン範囲や動作環境などの適用条件も評価できれば、影響を受ける候補を機械的に抽出でき、人手での表記ゆれ照合が不要になります。SCAPの全体像はSCAPとは？セキュリティ設定共通化手順とSCAP 1.4の変更点【2026年版】、識別子どうしの役割分担はCVEとCWEの違いとは？脆弱性管理の基礎をCVSS・相互関係とあわせて解説で整理しています。

仕様の版にも触れておきます。NISTのCPE 2.3のページは「The current version of CPE is 2.3.」と明記し、2.3はNaming・Name Matching・Dictionary・Applicability Languageの4仕様で構成されます。CPE 3.0のページは開発の初期段階で、2026年10月21日時点で「No CPE 3.0 specification text exists yet」と書かれています。当面は2.3を前提に実装して差し支えありません。

CPE名の書式：cpe:2.3の11属性と2.2のURI形式

書式はNIST IR 7695（CPE Naming 2.3）で定義されています。NVDのデータや古いスキャナの設定には2.2のURI形式も残っているため、実務では両方を読めるようにしておく必要があります。

フォーマット文字列の11属性と種別

フォーマット文字列（FS）は、接頭辞 cpe:2.3: の後ろに11個の属性をコロン区切りで固定順に並べます。

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other
# NIST IR 7695 の例
cpe:2.3:a:microsoft:internet_explorer:8.0.6001:beta:*:*:*:*:*:*

先頭の part は製品の種別で、a＝アプリケーション、o＝OS、h＝ハードウェアです。vendor と product には、企業が名乗る正式名ではなくCPE辞書に登録された表記（小文字、空白はアンダースコア）を使います。ここが実務で最もずれやすい箇所です。

CPE属性のANY「*」とNA「-」の違い

属性値に置ける記号は2つあり、意味は逆です。* はANY（どの値でもよい）、- はNA（その属性は存在しない）を表します。上の例の末尾が * で埋まっているのは「言語や動作環境を問わない」という意味で、「空欄」ではありません。NVDの辞書でも、版番号を持たない製品は cpe:2.3:a:3com:3cdaemon:-:*:*:*:*:*:*:* のようにversionが - で登録されています。自分でCPE名を書くときは、辞書の登録名をそのまま写すのが安全です。

2.2のURI形式とpacked edition

CPE 2.2のURI形式は属性が7つで、書式も異なります。

cpe:/{part}:{vendor}:{product}:{version}:{update}:{edition}:{language}
cpe:/a:microsoft:internet_explorer:8.0.6001:beta

2.2には sw_edition・target_sw・target_hw がなく、「Windows版だけが影響を受ける」という条件を書けません。CVE Record Formatの cpeApplicability は、仕様上CPE 2.3名だけを受け付けます。

なお cpe:/ で始まるからといって2.2とは限りません。2.3にもURIバインディングがあり、追加された4属性を edition 欄に ~ 区切りで詰め込みます（packed edition）。取り込み処理ではURIバインディングを仕様に従って解析し、packed edition があれば展開して正規化してください。packed edition がないURIは2.2と2.3で共通になり得るため、文字列だけでは版を断定できません。

CPE名を調べる・検証する手順

正しいベンダー名・製品名は、NVDのOfficial CPE Dictionaryで調べます。資産台帳にCPEを持たせるなら、辞書に登録済みの表記があるかを先に確認し、無い場合だけ命名規則に沿って組み立てる順番です。

NVDのCPE辞書とCPE API 2.0での検索

画面での検索のほか、NVDのProducts API（CPE API 2.0）で機械的に引けます。辞書のXML一括ファイルはNVDの告知どおり2025年8月20日に廃止されており、一括取得もAPIか2.0のデータフィードを使います。2026年10月21日に実行した結果は次のとおりです。

# 辞書の登録件数（totalResults）
curl -s "https://services.nvd.nist.gov/rest/json/cpes/2.0?resultsPerPage=1"
# → "totalResults":1857828

# 特定の製品・版の登録名を確認する
curl -s "https://services.nvd.nist.gov/rest/json/cpes/2.0?cpeMatchString=cpe:2.3:a:apache:http_server:2.4.62"
# → cpe:2.3:a:apache:http_server:2.4.62:*:*:*:*:*:*:*
#   title: Apache Software Foundation Apache HTTP Server 2.4.62

登録名は約186万件あり、ベンダー名は「apache」、製品名は「http_server」です。台帳に「Apache HTTP Server」と書いていても照合できない理由がここにあります。

PythonでのCPE名の解析と形式変換

CPE名の妥当性確認や、URI形式とフォーマット文字列の相互変換は、PyPIのcpeパッケージで行えます。2026年10月21日時点の最新版は1.3.1（2024年10月2日公開）です。Python 3.9の仮想環境にcpe 1.3.1をインストールし、次のコードを実行しました。

from cpe import CPE

c22 = CPE('cpe:/o:redhat:enterprise_linux:4:update4', CPE.VERSION_2_2)
print(c22.get_product())   # ['enterprise_linux']
print(c22.as_fs())         # cpe:2.3:o:redhat:enterprise_linux:4:update4:*:*:*:*:*:*

# 2.3のURIバインディング（packed edition）をフォーマット文字列へ
p = CPE('cpe:/a:hp:insight_diagnostics:7.4.0.1570::~~online~win2003~x64~')
print(p.as_fs())           # cpe:2.3:a:hp:insight_diagnostics:7.4.0.1570:*:*:*:online:win2003:x64:*

2.2の空欄は2.3では *（ANY）に変換され、packed edition の ~ 区切りは sw_edition・target_sw・target_hw へ展開されます。前の節で説明した仕様どおりの動きです。取り込み処理ではcpeの利用バージョンを固定し、ANY・NA・packed edition・エスケープ文字の変換結果をテストしてください。更新時には同じ入力で結果を比較します。

CVE・NVDでのCPEの使われ方

CVEレコードは「どの製品のどのバージョンが影響を受けるか」を示す必要があります。CVEレコードではaffectedに製品とバージョンの情報を記載します。CPEによる適用条件を記載する場合は、マッチ文字列やバージョン範囲、必要に応じて論理条件を組み合わせます。CVE Record Format 5.1.1で追加された cpeApplicability は任意項目で、CNA（採番機関）とADPのどちらのコンテナにも書けます。CNAが書かなかった場合は、NVDの担当者がCVEを分析してCPEを付けてきました。

スキャナやSCAツールが「この製品は危険」と判定できるのは、CPE照合を使う場合だけではありません。OSVではパッケージ名・エコシステム・バージョンやコミットハッシュによる検索もでき、CPEがなくても脆弱性を検知できます。CVEの仕組みはCVE（共通脆弱性識別子）とは？仕組み・CVSS/CWE/NVDとの違いと2026年の運営体制変化、深刻度の読み方はCVSSv3とは？v3.1の計算式・スコアの目安と3つの評価基準を解説にまとめています。

NVDの2026年4月の方針変更とCPEが付かないCVE

2026年にCPEの扱いで最も大きな変化はここです。NISTの2026年4月15日の発表によると、NVDのエンリッチ（CPEやスコアの付与）は次の3区分を優先します。(1)CISAのKEVカタログ掲載CVE（受領から1営業日以内が目標）、(2)連邦政府で使われるソフトウェアのCVE、(3)大統領令14028の重要ソフトウェアのCVEです。これ以外は「Lowest Priority – not scheduled for immediate enrichment」に分類され、2026年3月1日より前に公開された未処理分は「Not Scheduled」に移されました。CNAが深刻度スコアを付けているCVEには、NVDが別のスコアを定常的には付けない運用にも変わっています。NISTは理由として、CVEの登録数が2020年から2025年で263%増え、2026年1〜3月も前年同期より約3分の1多いことを挙げています。

2026年9月公開CVEのCPE付与率（実測）

実際にどれだけのCVEにCPEが付いていないのかを、NVDのCVE API 2.0で確かめました。2026年9月に公開されたCVEは14,933件（却下分を除く）です。全件の取得は応答が遅く現実的でなかったため、公開順のstartIndex＝0、3,000、6,000、9,000、12,000、14,500から400件ずつ、計2,400件を取得し、2026年10月21日時点の状態を集計しました。

抽出した2,400件のうち、NVDのCPE構成があったのは897件（37.4%）で、内訳はAnalyzedが827件、Modifiedが69件、Undergoing Analysisが1件でした。残る1,503件にはNVDのCPE構成がありませんでした。ただし、そのうち175件にはCNAのaffected内にCPE名があり、CPE情報が一切ないわけではありません。DeferredはNVDが2025年4月に「エンリッチを優先しない」CVEに付け始めた状態名で、9月公開分でも4件に1件がこの状態でした。ReceivedやAwaiting Analysisの分は後からCPEが付く可能性がありますが、付くかどうかも時期も読めません。今回の抽出標本では、NVDのconfigurationsだけを照合に使う仕組みは、1,503件（62.6%）のCVEを照合対象にできませんでした。無作為抽出ではないため、新しいCVE全体の割合とは断定できません。

NVDが表示を始めたCNAの affected 情報

一方でNVDは、CPEの代わりになる情報の配信も始めています。NVDの告知によると、2026年6月17日からAPIとデータフィードに、CVEレコードの affected（CNAが書いたベンダー・製品・バージョンの一覧）とCISA-ADPのSSVCを含めました。8月26日にはCVE詳細ページにも affected を表示するようになっています。affected はCPE名ではなくCNAが書いた自由な表記ですが、ベンダー名・製品名・バージョン範囲がそろっているため、CPEが付いていないCVEでも製品名の照合に使えます。

補完を期待しにくい経路もあります。CISAのVulnrichmentは、2024年12月10日以降、ADPとして追加するデータにCPE文字列を付けていません。NVDが後回しにしたCVEに、CISAが代わりにCPEを付けてくれるわけではありません。

CPE照合を補う3つの経路

優先順位は次のとおりです。最初はKEVの日次確認です。KEV掲載の脆弱性は悪用が確認されており、NVDでも優先処理の対象です。自社資産への該当有無を確認し、公開状況や業務影響を踏まえて対応順を決めます。KEVの是正期限の決め方はBOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方で解説しています。次に、OSSはOSVやGitHub Advisory Databaseのようなpurlベースの情報源を併用し、CPEが無くても検知できる経路を持ちます（OSV-Scannerの使い方｜インストール・コマンド・GitHub Actions設定とTrivyとの違い【v2.7.0】）。商用製品やアプライアンスでこれらの情報源に対象製品の情報がない場合は、NVDの affected 情報やベンダーのセキュリティアドバイザリで補完します。

CPEを照合の唯一の入口にする運用は、2026年4月以降は避けるべきです。特に「NVDのCPEマッチで該当なし」をもって「影響なし」と判断するのは誤りです。社内で台帳とCVEの突き合わせが回らない場合は、脆弱性診断・セキュリティ診断で外部の目を入れるのも選択肢です。

SBOMでのCPEとpurlの使い分け

SBOM（ソフトウェア部品表）でコンポーネントの識別子にCPEとpurl（Package URL）のどちらを書くかは、対象によって決まります。両者は競合せず、守備範囲が違います。

purlはパッケージのメタデータから機械的に作れるため、CVEが採番される前でもOSSライブラリの識別子を用意できます。仕様はECMA-427として2025年12月に第1版が承認されました。CVE側も対応しており、CVE Record Format 5.2.0は affected の製品に packageURL を追加しました。記載は任意で、purlにバージョンを含めてはいけない（バージョンは別の項目で範囲指定する）決まりです。2026年10月21日時点でも5.2.0が最新版です。

SBOMを出力する側の判断は単純です。CycloneDXでもSPDXでも、書けるなら両方書きます。片方しか書けないなら、OSS中心ならpurl、商用製品やファームウェア中心ならCPEを優先します。SBOMの作り方はSBOMとは？ソフトウェア部品表の目的・フォーマットと作成・運用の判断を解説、スキャナがどちらの識別子で照合しているかはTrivy（トリヴィ）の使い方｜インストールからイメージ・IaCスキャン、CI設定まで【v0.76対応】のようなツールでSBOMを読み込ませて確認できます。

CPE運用でつまずく4つのパターン

CPEを資産管理に組み込むときにつまずくのは、仕様よりも名前の扱いです。いずれも辞書の命名規則とマッチングの仕様から生じます。

• ベンダー名の表記ゆれ：辞書のvendorは microsoft のように小文字で、正式社名とも製品の表示名とも一致しません。台帳に「Microsoft Corporation」と書いていると照合できません。
• 辞書に無い製品：社内開発のシステムや国内ベンダーの製品は未登録のことが多くあります。自分でCPE名を組み立てても、CVE側が同じ名前を使わない限り照合は成立しません。付けること自体が目的にならないよう、照合先があるかを先に確かめてください。
• URI形式とフォーマット文字列の混在：古い設定やツール出力に cpe:/a: 形式が残っていると、フォーマット文字列前提の照合から漏れます。取り込み時に形式を判定し、packed edition まで展開してから保存します。
• バージョン範囲の取り違え：CPE名は単一のバージョンしか表せません。「2.4.0以上2.4.63未満」のような範囲はマッチ文字列側で指定されるため、CPE名を文字列比較するだけのスクリプトは範囲指定の脆弱性をすべて見落とします。

表記ゆれには辞書との対応付け、形式混在には正規化、バージョン範囲には境界条件の評価が必要です。辞書未登録の製品は、CNAやベンダーの情報で補完します。

よくある質問（FAQ）

CPEとCVEの違いは何ですか？

CVEは脆弱性そのものに付く番号（例：CVE-2026-40372）、CPEは影響を受ける製品に付く名前です。CVEレコードはaffectedで対象製品とバージョンを示し、任意のcpeApplicabilityにはCPEによる適用条件を記載できます。NVDが追加するCPE構成はconfigurationsに格納されます。

ONUとCPEの違いは何ですか？

CPEは利用者宅に置く通信機器の総称で、ONUはその一種です。光回線ではONUが回線を終端し、その後ろのルータやホームゲートウェイもCPEに含まれます。セキュリティ識別子のCPE（Common Platform Enumeration）とは別の概念です。

製品のCPE名はどこで検索できますか？

NVDのOfficial CPE Dictionaryの検索画面か、CPE API 2.0（services.nvd.nist.gov/rest/json/cpes/2.0）で調べられます。2026年10月21日時点で約186万件が登録されています。辞書に無い製品は、CVE側が同じ名前を使わない限り照合できない点に注意してください。

SBOMにはCPEとpurlのどちらを書くべきですか？

両方書けるなら両方書くのが安全です。OSSパッケージはpurlのほうが確実に識別でき、商用製品やハードウェアはCPEのほうが脆弱性情報とつながります。片方に絞るなら、対象コンポーネントの性質で選んでください。

CPEが付いていないCVEはどう追えばよいですか？

NVDのAPIやCVE詳細ページに載るCNAの affected 情報（ベンダー・製品・バージョン範囲）で製品名を照合し、OSSはOSVやGitHub Advisory Database、商用製品はベンダーのアドバイザリで補完します。KEV掲載分はNVDが優先処理するため、日次で新規掲載を確認し、自社資産との照合対象に加えます。

関連記事

• CVE（共通脆弱性識別子）とは？仕組み・CVSS/CWE/NVDとの違いと2026年の運営体制変化
• CVEとCWEの違いとは？脆弱性管理の基礎をCVSS・相互関係とあわせて解説
• SBOMとは？ソフトウェア部品表の目的・フォーマットと作成・運用の判断を解説
• CVSSv3とは？v3.1の計算式・スコアの目安と3つの評価基準を解説
• SCAPとは？セキュリティ設定共通化手順とSCAP 1.4の変更点【2026年版】