CVE（共通脆弱性識別子）とは？番号の読み方・CVSS/CWE/NVDとの違いと調べ方

CVE（Common Vulnerabilities and Exposures、共通脆弱性識別子）は、公開された脆弱性に「CVE-2025-55182」のような世界共通の番号を付ける仕組みです。読み方は「シーブイイー」。ベンダーの告知、スキャナーの検出結果もJVNやNVDのページも、この番号で同じ脆弱性を指します。この記事では、番号の読み方と6桁の連番、採番の仕組み、周辺用語との違い、調べ方を、2026年10月時点の一次情報と実測で整理します。

まとめ：CVEの要点と2026年10月時点の前提

• CVE IDは「CVE-西暦-連番」。西暦は脆弱性の公表年・レコードの公開年・番号の予約年のいずれかで、ニュースになった年とは限りません。連番は4桁以上の可変長で、2026年10月1日〜7日にNVDへ登録されたCVE-2026-の番号は6桁が過半でした。
• 番号を付けるのはMITREだけでなく、世界のCNA（CVE採番機関）です。2026年10月20日更新の公式名簿には、CNAまたはCNA-LRの役割を持つ登録が558件あります。日本ではJPCERT/CCが国内組織を束ねるRootを務め、日本の組織は15あります。
• CVEに点数はありません。「CVEのスコア」はCVSSのことで、付けるのはCNA・NVD・CISAなど複数の主体です。
• 調べるときは、番号と原文はcve.org、付帯情報はNVD、日本語はJVN、悪用が確認された事例はCISAのKEVで確認します。ただし、KEVに未掲載でも、悪用されていないとは判断できません。
• 2026年は前提が変わりました。NVDは4月からKEV掲載などを優先し、それ以外のCVEは即時には分析しない方針で、JVN iPediaとMyJVNは10月22日から停止中です。NVDだけを見る運用では深刻度や影響製品が欠けます。

CVE（共通脆弱性識別子）とは：脆弱性に共通の名前を付ける仕組み

CVEは1999年にMITREが始めた、公開済みの脆弱性に一意の識別子を付けるプログラムです。始まる前は、同じ欠陥をベンダーやツールごとに別の名前で呼んでいたため、「A社の警告」と「B社のパッチ」が同じ問題かを突き合わせられませんでした。共通の番号を付けることで、この照合の手間をなくすのが目的です。IPAは共通脆弱性識別子CVE概説で、CVEは1999年1月のパーデュー大学のワークショップでMITREが提案したと説明しています。

現在の運営は、米国CISAが資金を出し、MITREが事務局（Secretariat）を務める形です。公式サイトはcve.orgで、旧サイトのcve.mitre.orgにアクセスするとcve.orgのアーカイブへ転送されます。

CVEレコードの中身は識別番号・説明・影響製品・参考URLが中心で、対処の優先度を決める情報はNVDやKEVで補います。Red HatのCVE解説は、採番の条件として「個別に修正可能」「ベンダーが認めているか文書化されている」「影響するコードベースが1つ」の3点を挙げています。ただし複数製品に影響する場合の扱いは、現行のCNA Operational Rules 4.2.13が定めています。同じ脆弱なコードを共有する製品には2つ以上の番号を付けてはならず（MUST NOT）、コードを共有しない製品には別の番号を付けるべき（SHOULD）とされています。

CVE番号（CVE ID）の読み方と桁数

CVE IDは「CVE-西暦4桁-連番」の3ブロックです。CVE-2025-55182なら「2025年の55182番」と読みます。番号の大小は深刻度とも公表の順番とも関係しないため、新しさや危険度の判断には使えません。

西暦部分の3つの決め方と公開年のずれ

年の部分の決め方は、CNA Operational Rulesの4.2.19が定めています。CNAは「脆弱性が最初に公表された年」「CVEレコードが最初に公開された年」「番号を予約した年」のいずれかで年を付けるべきとされ、予約した翌年にレコードを公開してもかまいません。

CVE-2025-55182（React Server Componentsの脆弱性）は、予約が2025年8月8日、公開が2025年12月3日で、どちらも2025年です。一方、CVE-2014-125130は予約も公開も2026年10月2日なのに年は2014で、脆弱性が公表された年を採ったとみられます。古い年の番号が新しいニュースに出ても、誤記とは限りません。

4桁以上の可変長の連番と2026年10月の6桁の比率

1999年からの旧形式は連番4桁で、1年に9,999件までしか採番できませんでした。CVE ID Syntax Changeによると、2014年1月1日に4桁以上の可変長へ変わり、新形式の番号は2015年1月13日に初めて発行されています。桁数に上限はなく、先頭の0は1〜999番だけに付きます（例：CVE-2026-0001）。

件数は年々増えています。cve.orgの公式統計（Metrics）では、公開されたCVEレコードは2024年が40,077件、2025年が48,244件で、2026年は上半期だけで35,872件でした。予約された番号は2025年が70,729件、2026年が54,694件で、予約のまま公開されない番号もあります。

2026年10月1日〜7日にNVDへ登録された2,743件をNVD APIで集計すると、CVE-2026-で始まる2,715件のうち6桁の連番は1,415件で、5桁の1,284件を上回りました。同じ週の最大はCVE-2026-107363です。2026年の予約が54,694件なのに10万番台が多いのは、連番が予約順に詰めて振られるわけではないからです。CNAはCVE ServicesのAPIで番号をまとめて予約でき、その際に連続しない番号（non-sequential）も選べます。6桁は仕様変更ではなく、こうした割り当ての結果です。

※NVD APIの公開日（published）が2026年10月1日〜7日の全2,743件から、IDがCVE-2026-で始まる2,715件を抽出。2026年10月26日にNVD API 2.0で取得しました。全2,743件には取得時点でRejectedの16件も含み、分析状況やスコアの集計値は取得時点のものです。

台帳やスクリプトで番号を「CVE-[0-9]{4}-[0-9]{4,5}」のように桁数を固定していると、6桁の番号を取りこぼします。番号全体を判定するなら「^CVE-[0-9]{4}-[0-9]{4,}$」のように、ASCIIの数字を指定し、先頭から末尾まで一致させます（\dは処理系によってASCII以外の数字にも一致します）。

CVEレコードの中身：状態・日付・CNAとADP

1件のCVEは、JSON形式の「CVEレコード」として公開されます。現行の形式はCVE Record Format 5.2で、cve.orgの公開API（cveawg.mitre.org）から認証なしで取れます。次のコマンドはbashかzshに、curlとjqが入っている前提です。取得に失敗したときに無出力のまま成功扱いにならないよう、pipefailとcurlの-fsSを付けています。

set -o pipefail
curl -fsS https://cveawg.mitre.org/api/cve/CVE-2025-55182 \
  | jq '.cveMetadata | {cveId, state, assignerShortName, dateReserved, datePublished}'

2026年10月26日に実行した出力は次のとおりです。

{
  "cveId": "CVE-2025-55182",
  "state": "PUBLISHED",
  "assignerShortName": "Meta",
  "dateReserved": "2025-08-08T18:21:47.119Z",
  "datePublished": "2025-12-03T15:40:56.894Z"
}

stateは番号の状態で、予約済みで中身が未公開の「RESERVED」、公開済みの「PUBLISHED」、取り消された「REJECTED」があります。assignerShortNameは採番したCNAで、この例ではMeta（Reactの開発元）です。dateReservedは番号の予約日、datePublishedはレコードの公開日で、番号の西暦がどの年を採ったかは前章のとおりCNAの選択によります。

REJECTEDは重複採番でよく出ます。CVE-2025-66478はGitHubが同じ問題に振った番号で、レコードの理由欄には「This CVE is a duplicate of CVE-2025-55182.」とあり、2025年12月3日に取り消されました。スキャナーが古い番号を出したら、REJECTEDになっていないかを先に確かめます。

レコードは、CNAが書く「cna」と、第三者が情報を足す「adp」の2層です。CISAのADP（Vulnrichment）は、CVE-2025-55182に「Exploitation: active」「Automatable: yes」「Technical Impact: total」というSSVCの判定とKEV掲載日（2025年12月5日）を付けています。NVDの分析を待たなくても、悪用状況はレコード側で分かる場合があります。

CVE番号の採番機関：CNAとRoot、日本のJPCERT/CC

番号を付けるのは、CVEプログラムに認定されたCNA（CVE Numbering Authority）です。CNAはTop-Level RootやRootの配下に置かれ、大手ベンダーは自社製品に自分で番号を振り、担当CNAがいない製品は受け皿のCNA-LRが受け持ちます。

CNAの登録数と日本のRootであるJPCERT/CC

cve.orgの掲載データ（CVEProject/cve-websiteのCNA一覧、2026年10月20日更新）を数えると、登録は559件で、このうち番号を付けられるCNAまたはCNA-LR（CNA of Last Resort）の役割を持つものが558件です（残る1件はCISAのADPとしての登録）。CNAとしての国別では米国291件が最多で、日本は15件です（JPCERT/CC、NEC、日立製作所、トレンドマイクロ、任天堂など）。

JPCERT/CCは「Root」の役割も持ち、範囲は「Japan organizations」です。日本の15件のうち12件がJPCERT/CC配下で、JPCERT/CCは活動四半期レポートで「Root の役割を担うとともに、自ら CNA として CVE 番号の付与を行っています。」と説明しています。MITREは全体の最上位にあたる「Top-Level Root」兼事務局です。CISAもTop-Level Rootで、前章で触れたADPを務めています。

自分の製品でCVEを取得する手順

自社製品やOSSで脆弱性を見つけ、番号を付けたい場合は次の順に進めます。

1. その製品を担当するCNAがあるかをcve.orgのパートナー一覧で探します。OSSならGitHubなどのホスティング先がCNAであることが多く、GitHubのSecurity Advisoryから番号を申請できます。
2. 担当CNAが見つからなければ、cve.orgのReport/Requestの案内に従い、CNA-LR（MITREなど）に依頼します。旧フォームのcveform.mitre.orgは現在MITREの新しい申請ページへ転送されます。新ページで最初に発行される「CAN-YYYY-#######」は受付番号で、CVE IDではありません。
3. 影響製品と版、脆弱性の種類、影響、再現条件、公開予定日を伝えます。修正版の公開前に番号を予約し、公開と同時にレコードを公開するのが一般的です。

申請すれば必ず番号が付くわけではありません。たとえば4.1.11は、依存ライブラリを更新しただけでは利用側の製品の新しい脆弱性とはしない、と定めています。採番の規則はCNA Operational Rules（現行4.2.6、2026年10月20日発効）にあり、4.2.11は「CNAs MUST assign different CVE IDs to different, Independently Fixable Vulnerabilities.」と定めています。独立して直せる欠陥ごとに番号が分かれる、というのが基本の考え方です。

CVEとCVSS・CWE・CPEの違いとスコアの付け手

CVEの周辺語は、答える問いで分けると混乱しません。1件の脆弱性に、CVEが名前、CVSSが深刻度、CWEが弱点の種類、CPEが影響製品を与えます。

検索でよく見る「CVEのスコア」「CVE脆弱性スコア」は、CVSSの基本値を指します。CVE番号そのものに点数はなく、CVEレコードにCNAがCVSSを書き込む形で付きます。CVSSは0.0〜10.0で、9.0以上がCritical、7.0〜8.9がHighです。

注意したいのは、同じCVEに複数のスコアが並ぶことです。CVE-2025-55182では、採番したMetaがCVSS v3.1で10.0を付け、NVDはこの値を「Secondary」として表示しています。後述の方針変更で、NISTはCNAのスコアがあるCVEに原則として独自の採点をしなくなりました。スコアの読み方と計算式はCVSSv3とは？v3.1のスコアの目安・計算式と計算機の使い方を解説、CWEとの関係はCVEとCWEの違いとは？脆弱性管理の基礎をCVSS・相互関係とあわせて解説、CPEの書式はCPEとは？セキュリティ識別子・ネットワーク機器・CPEクレジットの違いと使い分けで扱っています。

CVE情報の調べ方：cve.org・NVD・JVN・KEVの使い分け

CVE番号が分かったら、知りたいことに応じて引く先を変えます。

NVDでの深刻度と影響製品の確認

NVD（National Vulnerability Database）は、CVEレコードにCVSS・CWE・CPEを足した米国のデータベースです。NVD APIのvulnStatusが「Analyzed」ならNISTの分析が済んでいます。「Deferred」「Awaiting Analysis」「Received」はNISTの分析前で、載っている値はCNAやCISA-ADPなどNIST以外の提供元のものです。値ごとに提供元（source）を確かめてから使います。

日本語で調べるJVNとJVN iPediaの停止

JVN（Japan Vulnerability Notes）はJPCERT/CCとIPAが共同運営する日本語のポータルで、国内製品に加えて海外製品の脆弱性情報も、JVNVU・JVN番号の告知として載せます。蓄積型のJVN iPediaとAPIのMyJVNは、2026年10月22日の告知で「システムメンテナンスのため、JVN iPediaおよびMyJVNサービスは一時停止しています。再開時期は未定です。」とされています。JVN本体の告知とRSSは更新が続いています。MyJVN APIで脆弱性情報を自動収集している場合は、停止中の補完としてcve.orgやNVDのAPIを使えますが、データ形式も言語も違うため、接続先を差し替えるだけでは同じ結果になりません。JVNのRSSで国内向けの告知を拾い、詳細はcve.orgで引く、という組み合わせが現実的です。

APIによるCVEレコードとKEVの一括取得

スキャナーが出した番号の一覧をまとめて照合するなら、APIでJSONを取ってスクリプトで突き合わせます。前章のcveawg APIに加え、KEVはCISAがJSONで配布しています（前提は前章と同じ）。

set -o pipefail
curl -fsS https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | jq '.vulnerabilities[] | select(.cveID=="CVE-2025-55182") | {dateAdded, knownRansomwareCampaignUse}'

2026年10月26日の出力は次のとおりです。

{
  "dateAdded": "2025-12-05",
  "knownRansomwareCampaignUse": "Known"
}

2026年10月23日版のKEVは1,756件で、2026年に入ってから272件が追加されました。knownRansomwareCampaignUseが「Known」の登録は361件あり、CVE-2025-55182もその1件です。NVD APIは無認証だと短時間の連続呼び出しで応答が返らなくなるため、件数が多いときはAPIキーを取得し、呼び出しの間隔を空けます。

2025〜2026年に変わったCVEの運営とNVD

2026年4月のNVDの方針変更により、CVE番号で検索しても、NISTによる深刻度評価や影響製品の情報が追加されない場合があります。

MITRE契約の失効危機と2026年の運営継続

2025年4月、MITREがCVE Boardに対し、運営契約が4月16日で切れる見込みだと通知しました。CISAが契約のオプションを行使して11か月（2026年3月まで）延長し、停止は避けられました。同じ4月16日にはCVE Boardの一部メンバーがCVE Foundationの設立を発表し、運営を1つの資金源に頼らない形へ移す支援を掲げました。

2026年3月の期限は途切れずに越えています。2026年1月21日のCVE Board議事録には「there is no funding cliff in March, and that ongoing operations and planning extend well beyond that timeframe.」とあります。CSO Online（2026年3月9日）の取材に、CISAのNick Andersen長官代行は「the CVE program is fully funded」と答えました。同じ議事録には、Boardメンバーによる契約書の開示要求を事務局が断った記録もあります。その後、米政府の支出公開サイトUSAspending.govには、MITREへのCVEとCWEの運営の契約が掲載されました。履行期間は2026年8月28日〜2027年8月27日、契約額は11,811,187ドルです。3月から8月までのつなぎの契約内容は公開情報では確認できません。

2026年4月からのNVDの優先順位付けと分析の後回し

NVDは未分析のCVEが積み上がり、NISTは2026年4月15日の発表で分析の対象を絞りました。優先するのはKEV掲載のCVE（受け取りから1営業日以内が目標）、米連邦政府が使うソフトウェア、大統領令14028の重要ソフトウェアで、それ以外は「Lowest Priority – not scheduled for immediate enrichment」として即時には分析しません。NVDでの公開日が2026年3月1日より前の未分析分は「Not Scheduled」に移され、CNAがスコアを付けたCVEにはNIST独自のスコアを原則付けません。理由は、CVEの登録が2020年から2025年に263%増え、2025年に約42,000件を分析しても追いつかないことです。

結果は数字に出ています。2026年10月1日〜7日に登録された2,743件のうち、ステータスが「Deferred」は1,342件（49%）、「Analyzed」は659件（24%）でした。NVD自身がスコアを付けたのは139件（5%）、CPEによる影響製品の定義が付いたのは685件（25%）です。一方で、CNAやCISA-ADPのものを含めると2,571件（94%）に何らかのCVSSが付いていました。深刻度はNVD以外の付け手から取れますが、この週のCVEに限れば、NVDのCPE定義だけで影響製品を照合する運用では4件中3件に照合の材料がありませんでした。

NVDだけに頼らないなら、影響製品はcve.orgのレコードにあるaffected欄（CNAが書く製品名と版の範囲）から取り、悪用状況はKEVとCISA-ADPのSSVCで確かめます。Deferredは現時点で分析の予定がない状態なので、NVDの分析を待ってから動く運用では対応が止まります。NISTの分析が要るCVEは、発表にあるとおり[email protected]宛てにメールで依頼でき、資源に応じて分析の予定が組まれます。

対応の優先順位を決める材料：資産の露出・KEV・SSVC・CVSS

CVSSの基本値は脆弱性そのものの深刻度で、自社で使っているか、攻撃が起きているかは含みません。CVSS 9.8でも該当製品がなければ急ぐ必要はなく、6点台でも悪用中なら最優先です。

米国の連邦機関向けには、CISAが2026年6月10日にBOD 26-04を出し、KEVの対応期限を定めていた旧指令BOD 22-01と、BOD 19-02を廃止しました。新しい指令は、資産の露出（Asset Exposure）、KEV掲載の有無、攻撃の自動化のしやすさ（Exploit Automation）、技術的な影響（Technical Impact）の4つで緊急度を決めます。このうち3つはCVEレコードのCISA-ADPとKEVから機械的に取れ、自社の台帳が要るのは資産の露出だけです。

実務では、スキャナーやSBOMの出力にあるCVE番号を自社の資産台帳と突き合わせ、(1)KEV掲載の脆弱性がありインターネットに露出している資産から先に対応し、(2)それ以外の資産は、露出・悪用状況・攻撃の自動化のしやすさ・技術的影響を組み合わせて優先度を決めます。CVSSは、これらの条件が同程度の場合の補助指標にします。CVE-2025-55182は公開2日後にKEVへ載り、ランサムウェアでの利用も確認されているため、該当するReactやNext.jsのサーバーがインターネットに露出していれば(1)に入ります（対応の詳細はReact2Shell（CVE-2025-55182）とNext.js脆弱性の対応手順）。棚卸しや優先順位付けを社内だけで回せない場合は、脆弱性診断・セキュリティ診断で検出結果とCVEの対応表を作るところから始める方法もあります。

CVE番号が付かない・遅れる脆弱性への備え

番号が予約だけで未公開の脆弱性や、まだ番号が付いていない脆弱性は、CVE番号の検索では見つかりません。修正前に攻撃が始まるゼロデイでは、ベンダーの緊急告知がCVEレコードより先に出ることがあります。

• 修正リリースが先で、番号が後から付く例は珍しくありません。7-Zipでは、修正済みの版より後にCVEが公開された脆弱性があります（7-Zipの脆弱性は危険？最新版26.05で直るCVE一覧と確認・更新手順）。
• OSSではGitHub Security Advisory（GHSA-で始まるID）が先に出ることがあります。Argo CDの例はArgo CDの脆弱性一覧と対処で扱っています。
• CVEの外側にも識別子があります。EUのENISAは2025年5月に欧州脆弱性データベース（EUVD）を公開し、ルクセンブルクのCIRCLは分散型の採番の仕組みGCVEを進めています。GCVEでは既存のCVE番号を予約済みの名前空間0に対応させ、CVE-2023-40224をGCVE-0-2023-40224と表します。

使っている製品のベンダー告知とGitHubのアドバイザリを直接購読し、CVE番号はあとから紐づける順序にします。

よくある質問

CVEの読み方と意味は何ですか？

「シーブイイー」と読み、Common Vulnerabilities and Exposuresの略です。日本語では共通脆弱性識別子と呼びます。公開された脆弱性に世界共通の番号を付ける仕組みです。番号そのものは脆弱性の名前で、CVEレコードには説明・影響製品に加えてCNAが付けたCVSSが載ることもあります。深刻度はCVSS、対処はベンダーの告知で確認します。

CVEとCVSSの違いは何ですか？

CVEは「どの脆弱性か」を示す番号、CVSSは「どれだけ深刻か」を0.0〜10.0で示す点数です。1つのCVEに、採番したCNA・NVD・CISAなどが別々にCVSSを付けることがあり、値が違う場合もあります。どの主体の値かを確かめてから使います。

CVE番号が6桁なのはなぜですか？

2014年に連番が4桁以上の可変長へ変わり、採番機関が連続しない番号もまとめて予約できるためです。2026年10月第1週にNVDへ登録されたCVE-2026-の番号は、6桁が1,415件で5桁の1,284件より多くなっています。桁数と深刻度は関係ありません。

CVEの情報を日本語で調べられるサイトはありますか？

JPCERT/CCとIPAが運営するJVNで、国内外の製品の脆弱性情報を日本語で読めます。ただし蓄積型のJVN iPediaは2026年10月22日から一時停止中で、再開時期は未定です。英語の原文はcve.org、深刻度はNVDで確かめます。

CVEプログラムが終了するという話はどうなりましたか？

2025年4月にMITREの運営契約が切れかけ、CISAが2026年3月まで延長しました。その期限も、2026年1月のCVE Board会合で「資金の途切れはない」と伝えられ、2026年8月28日からはCVEとCWEの運営の新しい契約（2027年8月27日まで）が公開されています。CVEは現在も運営されています。

関連記事

• CVSSv3とは？v3.1のスコアの目安・計算式と計算機の使い方を解説
• CVEとCWEの違いとは？脆弱性管理の基礎をCVSS・相互関係とあわせて解説
• CPEとは？セキュリティ識別子・ネットワーク機器・CPEクレジットの違いと使い分け
• React2Shell（CVE-2025-55182）とNext.js脆弱性の対応手順｜10月14日修正の16.4.1・15.5.28まで【2026年10月】
• 7-Zipの脆弱性は危険？最新版26.05で直るCVE一覧と確認・更新手順【2026年10月】