CVSSとは？CVE番号と深刻度スコア「9.2」の意味をわかりやすく

WindowsMac更新 2026-10-31

CVSS（共通脆弱性評価システム）は、脆弱性の深刻度を0.0から10.0の数値で表す評価方法です。IPAは、CVSSを使うと脆弱性の深刻度を同じ基準の下で定量的に比べられるようになる、と説明しています。CVEはそれとは別のもので、公開された脆弱性1件ごとに付く共通の番号です。PHP2ShellのひとつはCVE-2026-109618で、CVSSは9.2です。この記事は2026年10月23日時点の情報です。

要点

CVSSは、脆弱性の深刻度を0.0から10.0で評価する共通の方法です。CVEは、公開された脆弱性1件ごとに付く番号で、誰もが同じ問題を指せるようにするためのものです。9.0以上は最も高い区分で、IPAの日本語の表記では「緊急」にあたります。PHP2Shellの2件はどちらも9.2なので、この区分に入ります。

CVSSとは何ですか

脆弱性の深刻度を評価する、製品の提供元に依存しない共通の方法です。IPAによると、CVSSは米国家インフラストラクチャ諮問委員会（NIAC）のプロジェクトで2004年10月に原案が作られ、その後、管理母体としてFIRST（Forum of Incident Response and Security Teams）が選ばれました。IPAは、CVSSによって、ベンダー、セキュリティの専門家、管理者、利用者などが脆弱性について共通の言葉で話せるようになる、としています。

FIRSTのCVSS v4.0の仕様書は、CVSSは脆弱性の主な技術的特性をとらえ、ほかの脆弱性と比べた深刻度を数値で示すものだとしています。

日本の脆弱性対策情報ポータルサイトJVNも、CVSSの基本値を使って脆弱性を評価しています。

9.2というスコアは何を意味しますか

最も高い区分に入る、という意味です。IPAは、CVSS v3の深刻度を次のように分けています。

緊急：9.0から10.0
重要：7.0から8.9
警告：4.0から6.9
注意：0.1から3.9
なし：0

FIRSTのCVSS v4.0の仕様書も、同じ点数の幅で、Critical、High、Medium、Low、Noneに分けています。米国の脆弱性データベースNVDも、v3とv4.0で同じ幅を使っています。

PHPプロジェクトは、PHP2Shellの2件、CVE-2026-109618とCVE-2026-109619を、どちらもCVSS v4.0で9.2と評価しました。9.0以上なので「緊急」の区分です。FIRSTは、この区分は組織が脆弱性への対応の優先順位を適切に判断するのに役立てるためのものだとしています。

スコアの横にある記号の並びは何ですか

ベクトルと呼ばれ、点数の根拠になった評価の一つひとつを記録したものです。PHP2Shellの2件は、どちらも CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N です。IPAの日本語の項目名で読むと、次のようになります。

AV:N（攻撃元区分：ネットワーク）。 ネットワーク経由で攻撃できる。
AC:H（攻撃条件の複雑さ：高）。 攻撃を難しくする条件がある。
AT:P。 攻撃の成否が特定の条件に左右される。
PR:N（必要な特権レベル：不要）。 攻撃にログインなどの権限がいらない。
VC:H、VI:H、VA:H。 脆弱なシステムの機密性、完全性、可用性への影響がいずれも「高」。

FIRSTは、CVSSのスコアを公表する人に、点数とあわせてベクトルも示すよう求めています。点数がどう導かれたかを、ほかの人が確かめられるようにするためです。攻撃条件と影響が実際に何を意味するかはリモートコード実行とはで説明しています。

CVEとは何ですか

CVEはCommon Vulnerabilities and Exposuresの略で、公開された脆弱性を識別するための番号です。CVEプログラムは、公開されたサイバーセキュリティの脆弱性を特定し、定義し、カタログ化することを使命とし、カタログの脆弱性1件ごとにCVEレコードが1つある、としています。番号はCVE-YYYY-NNNNの形をしています。

番号があることで、人もツールも同じ脆弱性を指していると確かめられます。JPCERT/CC、IPA、米国のCISA、PHPプロジェクトがそろってCVE-2026-109619と書いていれば、全員が同じ1件の欠陥の話をしています。

番号を付けるのは、CNA（CVE採番機関）と呼ばれる組織です。CVEプログラムは、CNAを、自らの担当範囲でCVE番号を割り当て、CVEレコードを公開することを認められた組織だとしています。PHP2Shellでは、CNAはPHPプロジェクト自身でした。2件の公式のCVEレコードには、割り当て元としてPHPプロジェクトが記され、2026年10月12日に番号を予約し、修正版が出た10月21日にレコードを公開したことが示されています。

CVE番号そのものは深刻度を表しません。CVEプログラムのFAQは、レコードの形式によって、CNAがCVSSなどの深刻度の評価をレコードに含められるとしています。点数は、それを付けた組織によるものです。

スコアだけで判断してはいけないのはなぜですか

基本値（Base Score）が表すのは脆弱性の深刻度で、あなたにとってのリスクではないからです。NVDは、CVSSはリスクの尺度ではないとはっきり書いています。FIRSTの利用者向けガイドも、基本値は脆弱性の深刻度を測るためのもので、それだけでリスクを判断すべきではないとしています。

IPAの説明では、基本値は脆弱性そのものの特性を評価するもので、時間の経過や利用環境の違いでは変わりません。一方、環境の評価は、製品の利用者が自分の環境も含めて最終的な深刻度を評価し、対応を決めるためのものです。CVSS v4.0では、基本、脅威、環境、補足の4つの評価基準があり、脅威の評価は、実証コードの有無や実際の悪用といった状況を反映させるものです。NVDは、自らは基本の評価だけを提供するとしています。

だれが評価したかでも点数は変わります。PHP2Shellでは、3つの公式の情報源が違う数字を示しています。

PHPプロジェクト：2件ともCVSS v4.0で9.2（緊急）。
NVD：CVSS v3.1で、CVE-2026-109618は9.8（緊急）、CVE-2026-109619は8.1（重要）。2026年10月23日時点で、NVD自身のv4.0の評価はありません。
Synologyのアドバイザリ Synology-SA-26:14：2件ともCVSS3の基本値9.8（緊急）。

違いはベクトルを見るとわかります。CVE-2026-109619について、NVDは攻撃条件の複雑さを「高」、Synologyは「低」としています。どの評価も、2件を「重要」より下には置いておらず、PHPプロジェクトの勧めは2件とも更新です。

よくある質問

CVEは何の略ですか

Common Vulnerabilities and Exposuresの略です。CVEプログラムは、自らを、公開された脆弱性を特定しカタログ化するための、国際的でコミュニティ主導の取り組みだと説明しています。

「緊急」の脆弱性は、自分にとっても緊急ですか

該当するソフトウェアを使っている場合だけです。緊急という評価は脆弱性そのものの深刻度で、NVDもCVSSはリスクの尺度ではないとしています。PHP2Shellなら、PHPで動くウェブサイトや機器を運用している人が対象です。どこを見ればよいかはPHPのバージョンを確認する方法で説明しています。

CVSS v3とv4.0は何が違いますか

NVDによると、v3には基本、現状、環境の3つの評価基準があり、v4.0には基本、脅威、環境、補足の4つがあります。点数と深刻度の区分の対応は、どちらも同じです。

CVE番号はどこで調べられますか

公式のCVEレコードはcve.orgで、NVDのデータはnvd.nist.govで調べられます。NVDのページには、NVD自身の評価とCNAの評価の両方が表示されます。日本語の情報は、JVNやIPAの注意喚起で探せます。

CVEと脆弱性は同じものですか

厳密には違います。脆弱性は欠陥そのもので、CVE番号はそれに付けた名札です。欠陥のほうは脆弱性とはで説明しています。