2025.01.30 セキュリティ

CVSSとは？脆弱性の深刻度スコアの見方・計算方法とv4.0の変更点を解説

CVSS（Common Vulnerability Scoring System／共通脆弱性評価システム）とは、ソフトウェアの脆弱性の深刻度を 0.0〜10.0 の数値で表す、ベンダー中立の国際標準です。米国の非営利団体 FIRST（Forum of Incident Response and Security Teams）が策定・維持しており、同じ脆弱性を誰が評価しても近い基準でスコア化できるため、脆弱性対応の優先順位付けに広く使われています。この記事では、CVSSスコアの見方（深刻度の目安）・3つの評価基準・計算方法・最新版 CVSS v4.0 の変更点・CVE/CWEとの違い・実務での活用方法までを簡潔に整理します。

まとめ：CVSSの要点

CVSS（共通脆弱性評価システム）は、脆弱性の深刻度を 0.0〜10.0 で表す国際標準で、FIRST が策定・維持しています。要点は次のとおりです。

  • スコアは None(0.0)／Low／Medium／High／Critical(9.0〜10.0) の5段階で深刻度を判断する。
  • 評価は基本・脅威（現状）・環境の3基準からなり、公開値は多くの場合「基本値」。
  • 最新版 CVSS v4.0（2023年11月）では Scope 廃止・影響評価の分離・補足評価基準の追加などが行われた。
  • CVE（識別番号）・CWE（種類分類）・CVSS（深刻度）は役割が異なり、連携して使う。
  • 優先順位付けでは基本値だけに頼らず、環境評価・KEV・EPSS を併用するのが実践的。

CVSSとは？脆弱性の深刻度を数値化する国際標準

CVSS は、脆弱性が悪用された場合の攻撃のしやすさと影響の大きさを、共通の指標で 0.0〜10.0 のスコアに換算する仕組みです。数値が大きいほど深刻で、10.0 が最も危険度が高いことを示します。特定の製品ベンダーに依存しない「ものさし」として、脆弱性情報データベースの NVD（米国）や JVN（日本）でも採用されています。

スコアは単なる数字ではなく、どの条件でその値になったかを示す「ベクトル文字列」とセットで公開されるのが特徴です。これにより、評価の再現性・透明性が担保されます。

バージョンの変遷は次のとおりで、現在の最新版は 2023年11月に公開された CVSS v4.0 です。ただし NVD などでは v3.1 のスコアも併記されており、当面は v3.1 と v4.0 が併存します。

  • CVSS v1.0：2005年
  • CVSS v2.0：2007年
  • CVSS v3.0：2015年 ／ v3.1：2019年
  • CVSS v4.0：2023年11月（最新版）

CVSSスコアの見方｜深刻度レベルの目安（None〜Critical）

CVSS v3.x・v4.0 では、スコアの範囲に応じて深刻度（Severity）を5段階に分類します。まず押さえるべきは、この対応表です。

深刻度（Severity） CVSSスコア 目安
緊急（Critical） 9.0〜10.0 最優先で即時対応
重要（High） 7.0〜8.9 速やかに対応
警告（Medium） 4.0〜6.9 計画的に対応
注意（Low） 0.1〜3.9 影響を見て対応
なし（None） 0.0 実質的な影響なし

注意したいのは、この目安はあくまで技術的な深刻度であり「自組織にとっての緊急度」とは必ずしも一致しない点です。同じ CVSS 9.8 でも、対象システムがインターネットに公開されているか、実際に攻撃コードが出回っているかで、実務上の危険度は大きく変わります。後述する環境評価基準や EPSS を併用して補正するのが実践的です。

CVSSの3つの評価基準（基本・脅威／現状・環境）

CVSS のスコアは、性質の異なる3つの評価基準（メトリクスグループ）から構成されます。脆弱性そのものの特性を表す「基本評価基準」を土台に、時間経過や利用環境に応じて補正する2つの基準が加わる構造です。

基本評価基準（Base Metrics）

脆弱性固有の、時間や環境で変化しない特性を評価します。CVSS スコアの中核で、一般に公開される「CVSSスコア」は多くの場合この基本値です。大きく「攻撃のしやすさ（Exploitability）」と「影響（Impact）」に分かれます。

  • 攻撃元区分（Attack Vector：AV）：ネットワーク／隣接／ローカル／物理のどこから攻撃可能か
  • 攻撃条件の複雑さ（Attack Complexity：AC）：攻撃成立に特別な条件が必要か
  • 必要な特権レベル（Privileges Required：PR）：攻撃に必要な権限の高さ
  • 利用者の関与（User Interaction：UI）：被害者の操作（クリック等）が必要か
  • 影響（機密性C・完全性I・可用性A）：情報セキュリティの3要素それぞれへの影響度

影響は、情報セキュリティの3要素である機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）、いわゆる「CIA」への影響として評価されます。3要素すべてに High の影響があれば、スコアは高くなります。

脅威（現状）評価基準（Threat／Temporal Metrics）

時間の経過とともに変化する要素を反映して補正します。v3.1 では「現状評価基準（Temporal）」と呼ばれ、攻撃コードの成熟度・修正状況・情報の信頼性の3項目でした。v4.0 では「脅威評価基準（Threat）」に整理され、攻撃コードの成熟度（Exploit Maturity：E）のみに簡素化されています。実際に悪用されているかどうかが反映されるため、対応の緊急度判断に役立ちます。

環境評価基準（Environmental Metrics）

脆弱性を抱えるシステムが、自組織にとってどれだけ重要かを加味して補正する基準です。基本評価基準の各項目を自環境向けに上書きできるほか、対象システムに求める機密性・完全性・可用性の重要度（Security Requirements）を設定できます。同じ脆弱性でも、基幹システムか検証環境かでリスクは異なるため、実務では環境評価まで加味した値が最も意味を持ちます。

CVSSスコアの計算方法｜ベクトル文字列と計算ツール

CVSS スコアは、各メトリクスの選択肢を組み合わせて算出します。手計算する必要はなく、通常は各項目を選ぶと自動でスコアが出る「計算機」を使います。選んだ条件は、次のようなベクトル文字列で表現されます。

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

この例は「ネットワーク経由（AV:N）で、攻撃条件が容易（AC:L）、権限・利用者操作とも不要（PR:N/UI:N）、機密性・完全性・可用性すべてに高い影響（C:H/I:H/A:H）」を意味し、基本値は 9.8（Critical）になります。認証も操作も不要でリモートから完全に侵害できる、最も危険なパターンです。

公式および国内の計算機は次から利用できます。ベクトル文字列を貼り付ければ、スコアの再計算・検証も可能です。

CVSS v4.0の主な変更点（v3.1との違い）

2023年11月公開の CVSS v4.0 は、v3.1 に対して評価の粒度と実用性を高める見直しが行われました。主な変更点は次のとおりです。

  • 名称の細分化：どの評価基準まで含めた値かを、CVSS-B（基本のみ）／CVSS-BT（基本+脅威）／CVSS-BE（基本+環境）／CVSS-BTE（全部）と明示するようになりました。「基本値だけに頼らない」ことを促す設計です。
  • 攻撃要件（Attack Requirements：AT）の新設：攻撃成立に必要な前提条件を、攻撃条件の複雑さ（AC）と切り分けて評価できるようになりました。
  • 利用者の関与（UI）の細分化：None／Passive（受動）／Active（能動）の3段階になり、どの程度の操作が必要かをより正確に表せます。
  • スコープ（Scope）の廃止と影響評価の分離：v3.1 の Scope に代わり、影響を「脆弱性のあるシステム自体（VC/VI/VA）」と「その先の後続システム（SC/SI/SA）」に分けて評価する方式になりました。
  • 補足評価基準（Supplemental Metrics）の追加：安全性（Safety）・自動化可能性（Automatable）・復旧性（Recovery）などの情報を付与できます。スコアには影響しませんが、対応判断の材料になります。

CVSSとCVE・CWEの違い

脆弱性管理の文脈で CVSS・CVE・CWE はセットで登場しますが、役割はそれぞれ異なります。混同しやすいので、区別を整理します。

用語 役割
CVE 個々の脆弱性に付ける「識別番号」（例：CVE-2021-44228）
CWE 脆弱性の「種類・原因」を分類する体系（例：SQLインジェクション）
CVSS 脆弱性の「深刻度」を数値化するスコア（0.0〜10.0）

つまり「どの脆弱性か（CVE）」「どんな種類の弱点か（CWE）」「どれくらい深刻か（CVSS）」を、それぞれ別の物差しで表しているわけです。実務では、CVE 番号でひもづいた脆弱性に CVSS スコアが付与され、CWE でその根本原因を分類する、という形で連携します。詳しくは CVE（共通脆弱性識別子）とは？仕組み・CVSS/CWE/NVDとの違い と CVEとCWEの違いとは？脆弱性管理の基礎 で解説しています。

CVSSスコアを脆弱性対応の優先順位付けに活用する方法

CVSS の本来の目的は、限られたリソースの中で「どの脆弱性から対処すべきか」を判断することです。ただし、CVSS スコア（特に基本値）だけで優先順位を決めると判断を誤ることがあるため、FIRST 自身も基本値のみに依存しないことを推奨しています。実務では次の観点を組み合わせます。

  • 環境評価まで加味する：公開スコア（基本値）をそのまま使わず、対象システムの重要度・公開範囲を反映した値で判断する。
  • 実際に悪用されているかを確認する：CISA の KEV（Known Exploited Vulnerabilities：悪用が確認された脆弱性カタログ）に載っている脆弱性は、スコアにかかわらず最優先で対処する。
  • EPSS を併用する：EPSS（Exploit Prediction Scoring System）は、今後30日以内に悪用される「確率」を予測する指標です。深刻度を表す CVSS と、悪用の起きやすさを表す EPSS を掛け合わせると、より現実的な優先順位付けができます。
  • 検出・管理を自動化する：Dependabot や GitHub Code Scanning などのツールで脆弱性を継続的に検出し、CVSS スコアを起点に対応フローへ乗せる。

よくある質問（FAQ）

CVSSスコアはいくつから危険ですか？

一般に 7.0 以上（High）が速やかな対応を要する水準、9.0 以上（Critical）は最優先で即時対応すべき水準とされます。ただし技術的な深刻度であり、自組織での緊急度は公開範囲や悪用状況で補正して判断します。

CVSSの最新バージョンは何ですか？

2023年11月に公開された CVSS v4.0 が最新です。ただし NVD などでは v3.1 のスコアも併記されており、当面は両バージョンが併存します。

CVSSとCVEの違いは何ですか？

CVE は個々の脆弱性を識別する「番号」、CVSS はその脆弱性の「深刻度」を表すスコアです。CVE でひもづいた脆弱性に CVSS スコアが付与される、という関係になります。

CVSSスコアは誰が計算していますか？

製品ベンダーや NVD・JVN などの脆弱性情報データベースが、FIRST の定めた基準に沿って算出・公開します。ベクトル文字列を使えば、利用者側でも計算機で検証・再計算できます。

関連記事

資料請求

RELATED POSTS 関連記事

一覧へ戻る