CVSSとは？しーぶいえすえす
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）は、ソフトウェアの脆弱性（セキュリティ上の欠陥）がどれくらい深刻かを、製品や開発元に左右されない共通の物差しで 0.0〜10.0 の数値に表す評価方法。広く使われている v3 では、脆弱性そのものの性質を見る「基本評価基準」、攻撃コードが出回っているかなど時間で変わる状況を見る「現状評価基準」、自分の組織にとっての重要度を加味する「環境評価基準」の 3 つで評価する。数値は深刻度の段階にも置き換えられ、日本の脆弱性情報サイト JVN（JPCERT/CC と IPA が運営）では 9.0 以上を「緊急」、7.0〜8.9 を「重要」、4.0〜6.9 を「警告」、0.1〜3.9 を「注意」としている。2023 年には評価基準を組み直した v4.0 も公開された。
最終更新：2026-10-10
基本情報を最短で暗記・合格する →背景
共通の物差しができる前は、深刻度の表し方が開発元ごとにばらばらで、ある会社の「高」と別の会社の「重大」のどちらが危ないのか比べられなかった。社内で使う製品が数十種類あると、どの修正プログラム（パッチ）から当てるべきか判断がつかない。そこで米国の国家インフラ諮問委員会（NIAC）の研究をもとに、点数の付け方そのものを公開して誰が付けても同じ値になるようにしたのが CVSS で、現在は国際的なセキュリティ対応チームの団体 FIRST が管理している。
具体例
2021 年 12 月に見つかった Java 用のログ出力部品 Apache Log4j 2 の脆弱性（CVE-2021-44228、通称 Log4Shell）は、ネットワーク越しに認証なしで任意のプログラムを動かせるため、CVSS v3.1 の基本値が最高の 10.0 と評価された。10.0 という数字を見れば、製品名を知らない担当者でも「最優先で対応する」と判断できる。一方、同じ製品でも社外から接続できないサーバで動いているなら、環境評価基準で点数を下げて対応の順番を後ろにできる。
試験での引っ掛け
CVSS は深刻度の「点数」で、脆弱性に付ける「識別番号」は CVE（例：CVE-2021-44228）、脆弱性の「種類」の分類は CWE（例：SQL インジェクション）と役割が別。「CVE で深刻度を数値化する」は誤り。また点数が付くのは脆弱性であって、攻撃の被害額やシステム全体の安全性を点数にするものではない。基本評価基準は時間がたっても変わらず、変わるのは現状評価基準である点も入れ替えて問われやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。