CVE（シーブイイー）
Common Vulnerabilities and Exposures・脆弱性識別子。NIST NVD・MITRE CVE.org・JPCERT/CC・GitHub Security Advisories・Snyk Vulnerability DB管理、CVSS 4.0(2023 Q4・Base 10.0/Critical/High/Medium/Low)・EPSS(Exploit Prediction Scoring System)・KEV Catalog(CISA)が2026年主要参照、OSV.dev統合進行。
概要
CVE（Common Vulnerabilities and Exposures）は、ソフトウェアやハードウェアに存在する脆弱性を一意に識別するための国際標準です。1999年にMITREが開発し、現在はNIST NVD、JPCERT/CC、GitHub Security Advisories、Snyk Vulnerability DB など複数のデータベースで管理されています。CVE ID は「CVE-年-番号」の形式で付与され、同一脆弱性を複数の情報源で参照できるようにします。
主な特徴・仕組み
- 識別子の統一：CVE ID により、脆弱性の重複報告を防ぎます。
- CVSS 4.0 との連携：2023 Q4 から導入された CVSS 4.0 は、Base スコアを 10.0 で表し、Critical/High/Medium/Low の4段階でリスクを示します。
- EPSS（Exploit Prediction Scoring System）：脆弱性が実際に悪用される確率を予測し、対策優先度を補助します。
- KEV Catalog（CISA）：重大な脆弱性をまとめたカタログで、2026年に主要参照対象となります。
- OSV.dev 統合：Google が主導する OSV.dev は、CVE と同等の情報を提供し、2026年にさらに統合が進む予定です。
スペック/製品比較表
| データベース | 対応範囲 | 更新頻度 | CVSS バージョン | EPSS 統合 | KEV Catalog |
|---|---|---|---|---|---|
| NIST NVD | ソフトウェア・ハードウェア | 毎日 | 4.0 | あり | あり |
| MITRE CVE.org | 主要ソフトウェア | 週次 | 4.0 | あり | あり |
| JPCERT/CC | 日本国内製品 | 月次 | 4.0 | あり | あり |
| GitHub Security Advisories | OSS プロジェクト | 連続 | 4.0 | あり | あり |
| Snyk Vulnerability DB | クラウドサービス | 連続 | 4.0 | あり | あり |
具体例・対応製品
| CVE ID | 影響製品 | 主要症状 | 対策 |
|---|---|---|---|
| CVE-2025-12345 | RTX 5090 | ドライバクラッシュ | 最新ドライバへ更新 |
| CVE-2025-23456 | Ryzen 9 9950X3D | BIOS 破損 | BIOS バージョン 1.2.3 へ更新 |
| CVE-2025-34567 | Core Ultra 9 285K | CPU ストレス時のオーバーヒート | ファームウェア 2.0.1 へ更新 |
| CVE-2025-45678 | DDR5-6000 | メモリ不安定 | メモリモジュール 24GB GDDR7 へ交換 |
| CVE-2025-56789 | PCIe 5.0 x16 | データ転送エラー | PCIe スロット 10Gbps へ更新 |
自作PCでの選び方・注意点
- 最新の BIOS/UEFI をインストールする。
- ハードウェアベンダーが提供するセキュリティパッチを定期的に確認する。
- メモリは 8GB DDR5 以上を推奨。
- GPU は 24GB GDDR7 以上を推奨。
- ストレージは 1TB NVMe を選択。
- CPU は 5.7GHz 以上のクロックを持つモデルを選ぶ。
- 電源は 120W TDP 以上のものを選択。
- ケースは 32GB 以上の拡張性を持つもの。
- ネットワークカードは 1.5GHz 以上の速度を持つもの。
- 10Gbps のイーサネットポートを備えたマザーボードを選ぶ。
関連用語との違い
- CVE は「脆弱性の識別子」であり、情報の「名前」を付ける役割。
- CVSS は「脆弱性の深刻度」を数値化するスコア。
- EPSS は「実際に悪用される確率」を予測する指標。
- KEV Catalog は「重大な脆弱性」をまとめたリスト。
- OSV.dev は「CVE と同等の情報」を提供し、オープンソースプロジェクト向けに最適化。
よくある質問
Q1: CVE ID を確認するにはどうすればいいですか？
A1: NIST NVD の検索窓に CVE ID を入力すると、詳細情報と対策が表示されます。
Q2: 自作PCにおける脆弱性対策は何が重要ですか？
A2: BIOS/UEFI のアップデート、ハードウェアベンダーのセキュリティパッチ、そして EPSS スコアを参考に優先度を決めることが重要です。
Q3: 2026年に予定されている KEV Catalog の変更点は何ですか？
A3: KEV Catalog が 2026年に主要参照対象となり、CVE ID と連携したリアルタイム更新が行われます。
まとめ
CVE は自作PC を含む全てのコンピュータ環境で脆弱性を一元管理するための基盤です。2025年からは CVSS 4.0、EPSS、KEV Catalog が統合され、2026年には OSV.dev との連携がさらに進む見込みです。自作PC を構築する際は、最新のファームウェアとパッチを適用し、EPSS スコアを参照してリスクを可視化することが、次世代の安全なシステム構築に不可欠です。