脆弱性・CVE・CVSSとは？図解でわかりやすく解説
「CVE-2026-109618、CVSS 9.2、緊急」。2026年10月、PHPの脆弱性「PHP2Shell」のニュースで、こんな文字列が飛び交いました。
呪文にしか見えませんよね。でもこれ、読み方さえわかれば「どの穴が、どのくらいヤバいか」を一行で伝える、すごく便利な書き方なんです。
この記事では、脆弱性・CVE・CVSSの3つを、家の防犯にたとえて図解します。読み終わるころには、セキュリティのニュースが半分くらい読めるようになっているはずです。
脆弱性・CVE・CVSSを一言で
3つの言葉は、セットで覚えるのがコツです。家の防犯にたとえると、こうなります。
| 用語 | 家の防犯でいうと | 正体 |
|---|---|---|
| 脆弱性 | 鍵が壊れた窓 | ソフトや機器のセキュリティ上の穴 |
| CVE | 壊れた窓につける「管理番号」 | 脆弱性ごとの世界共通の識別番号 |
| CVSS | 「どれだけ危ないか」の点数 | 深刻度を0.0〜10.0で表す物差し |
| パッチ | 窓の修理 | 穴をふさぐ修正プログラム |
読み方は「ぜいじゃくせい」。英語では vulnerability（バルネラビリティ）と言います。どんなに有名なソフトでも、脆弱性ゼロはありえない。大事なのは「穴があるかどうか」より、「見つかった穴を、どれだけ早くふさげるか」です。
CVE番号の読み方
CVEは「Common Vulnerabilities and Exposures」の略。世界中で見つかった脆弱性に、ひとつずつ番号を振る仕組みです。番号の形は決まっています。
CVE-2026-109618
CVE
脆弱性の番号ですよ、の印
2026
番号が発行された年（見つかった年とは限らない）
109618
その年の中での個別番号
番号があるおかげで、アメリカのセキュリティ企業も、日本のサーバー会社も、「CVE-2026-109618の件ですが」で同じ穴の話ができます。世界共通の「伝票番号」だと思ってください。日本では、国の情報セキュリティ機関であるIPAと、JPCERT/CCが運営するJVNというサイトが、脆弱性情報を日本語でまとめています。
CVSSの点数と深刻度の目安
CVSSは、脆弱性の危なさを0.0〜10.0の点数で表す共通の物差しです。「ネットから攻撃できるか」「ログインが必要か」「攻撃されたら何が起きるか」などの項目から計算されます。
冒頭のPHP2Shellは9.2で「緊急」。いちばん上の区分です。ニュースで「9.8」「10.0」という数字を見たら、それはかなりの非常事態だと思ってOKです。
ちなみにCVSSには版があり、2023年に最新のv4.0が公開されました。同じ脆弱性でも、v3.1とv4.0で点数が違うことがあります。「CVSS v4.0で9.2」のように、版つきで書かれているのはそのためです。
→ 実例：PHP2Shellとは？PHPの重大脆弱性を図解でわかりやすく解説
脆弱性が見つかってから直るまで
脆弱性は、だいたいこんな順番で世の中に出てきます。
ポイントは4番。脆弱性の情報が公開されると、守る側だけでなく攻撃者も同じ情報を読みます。修正版で何が変わったかを調べれば、穴の場所がわかってしまうからです。
だから、悪用が始まっているものや「緊急」のものは、公開されたらすぐ当てる。それ以外は検証してから計画的に当てる。この使い分けが基本です。そして最悪なのが、修正版が出る前に攻撃が始まるケース。これを「ゼロデイ攻撃」と呼びます。PHP2Shellでも、公開の4日前に悪用の試みが観測されていました。
セキュリティのニュースが気になり始めたなら、それ、向いているサインです。何から始めればいいか、一緒に整理できます。
LINEで最初の一歩を相談する →点数だけで優先順位を決めない理由
現場では、毎月とんでもない数の脆弱性が出てきます。2026年10月のMicrosoftの月例更新だけで、CVE番号つきの修正は約1,400件。全部を同じ熱量で追うのは、現実的に無理です。
そこで優先順位をつけるわけですが、CVSSの点数だけでは決めません。見るのは、たとえばこの4つです。
| 確認すること | なぜ大事？ |
|---|---|
| すでに悪用されている？ | 点数が中くらいでも、攻撃が始まっていれば最優先 |
| うちで使っている？ | 使っていない製品なら、そもそも関係ない |
| ネットから届く場所にある？ | 外に公開しているサーバーほど狙われやすい |
| CVSSの点数は？ | 上の3つとあわせて、緊急度の目安にする |
「悪用されているか」は、KEVというリストなどで確認します。アメリカの政府機関CISAが公開している、悪用が確認された脆弱性のカタログです。
点数は高いけれど、誰も使っていない製品。点数は中くらいだけど、社内のあちこちで動いていて、すでに攻撃されている製品。先に手をつけるのは後者です。
インフラエンジニアの関わり方
脆弱性対応は、インフラエンジニアの定番業務です。運用保守の現場では、だいたいこんなサイクルで回っています。
- ✅ JVNやメーカーの発表から、担当機器に関係する脆弱性を拾う
- ✅ 自分たちの環境で、該当する製品・バージョンが動いているか調べる
- ✅ 影響と緊急度をまとめて、上長やお客さんに報告する
- ✅ 検証環境で試したうえで、パッチを計画的に当てる
- ✅ 当てたあとに、サービスが正常に動いているか確認する
未経験で入った1年目は、まず手順に沿った作業から関わることが多いです。たとえば月曜の朝、先週出た脆弱性情報の一覧を開く。担当しているサーバーやネットワーク機器の型番・バージョンと、一つずつ照らし合わせる。該当があれば先輩に報告する。
地味ですよね。でも、いちばん穴をふさいでいるのは、こういう作業の積み重ねなんです。
→ パッチ当ての具体例：Windows Update・月例パッチとは？図解でわかりやすく解説
→ セキュリティの道へ：インフラからセキュリティエンジニアへ｜未経験からの道筋
よくある質問
脆弱性とは何ですか？
脆弱性（ぜいじゃくせい）は、ソフトウェアや機器にある「セキュリティ上の穴」のことです。家にたとえると、鍵の壊れた窓のようなもので、そこを突かれると情報を盗まれたり、システムを乗っ取られたりするおそれがあります。
CVEとは何ですか？
CVEは、世界中で見つかった脆弱性に割り振られる共通の識別番号です。「CVE-2026-12345」のように、CVE・登録年・通し番号の形で表されます。番号があることで、世界中の企業やエンジニアが同じ脆弱性について話せるようになります。
CVSSとは何ですか？
CVSSは、脆弱性の深刻度を0.0〜10.0の点数で表す世界共通の物差しです。日本の脆弱性情報サイトJVNでは、9.0以上を「緊急」、7.0〜8.9を「重要」、4.0〜6.9を「警告」、0.1〜3.9を「注意」と呼んでいます。
CVSSの点数が高いものから対応すればいいですか？
点数は大事な目安ですが、それだけでは決めません。「すでに悪用されているか」「自社でその製品を使っているか」「インターネットから届く場所にあるか」も合わせて判断します。点数が中くらいでも、実際に悪用が始まっているものは最優先になることがあります。
ゼロデイ攻撃とは何ですか？
修正版がまだ出ていない脆弱性を狙う攻撃のことです。開発元が穴を知ってから対策に使えた日数が「ゼロ日」、つまり修正版より先に攻撃が始まっている状態を指します。守る側は修正版を当てるという通常の手段が使えないため、特に危険とされます。
インフラエンジニアは脆弱性とどう関わりますか？
担当するサーバーやネットワーク機器に関係する脆弱性情報を集め、影響があるかを調べ、修正版（パッチ）を計画的に適用します。運用保守の現場では、脆弱性情報のチェックとパッチ適用が定期業務になっていることが多いです。
まとめ
脆弱性は「穴」、CVEは穴の「管理番号」、CVSSは「危なさの点数」。この3つがわかれば、セキュリティのニュースはぐっと読みやすくなります。
そして現場で大事なのは、点数だけで慌てないこと。「悪用されているか」「うちで使っているか」まで見て、ふさぐ順番を決める。その判断と作業を担っているのが、インフラエンジニアです。
今日できることをひとつ。スマホでJVN（jvn.jp）を開いて、新着の脆弱性情報を1つタップしてみてください。ページの中に「CVSS」の欄があり、点数と深刻度が書いてあります。5分あれば、この記事の内容を自分の目で確かめられます。
→ インフラエンジニアの全体像：未経験からインフラエンジニアになるには？完全ロードマップ
参考にした情報
あわせて読みたい
IT ENGINEER APTITUDE
ITエンジニア適性診断
自分が IT エンジニアに向いているか、30 秒でわかる。 厚労省データに基づく年収レンジつき。
村上悠司（むらかみ ゆうじ）
株式会社キャリアハブ 代表取締役。外資系IT企業でのセールス経験約10年を経て、未経験エンジニアの育成に特化したSES企業を設立。