CVE・CWEとは？しーぶいいー・しーだぶりゅいー
CVE・CWEとは、公表された脆弱性1件ごとに世界共通の番号を割り当てる仕組みがCVE、その脆弱性を生んだ原因を型として分類した辞書がCWE。個々の事象を指すか原因の種類を指すかという粒度の違いがあり、深刻度を点数で表すCVSSとの役割分担まで含めて出題される。
最終更新：2026-10-06
プロジェクトマネージャを最短で暗記・合格する →背景
同じ脆弱性を各社が別々の呼び名で扱っていた時代は、自社の製品が該当するのかを突き合わせるだけで時間を失った。共通の識別番号を振ったことで、公表情報・診断ツール・修正パッチが同じ番号でつながるようになった。PMには、脆弱性の公表から適用判断までを何日で回すかという運用設計の前提になる。
具体例
使っているライブラリにCVE番号付きの脆弱性が公表されたら、まずCVSSの基本値で緊急度を判断し、パッチ適用の可否を変更管理の手続きに載せる。あわせてCWE側を見て入力検証不備が繰り返し現れているなら、個別のパッチではなく設計標準とレビュー観点の見直しに手を入れる。
試験での引っ掛け
CVEは深刻度を表さない単なる識別子で、深刻度はCVSSが示す。またCVEが付いていない脆弱性も存在するため、CVE一覧に無い=安全ではない。CWEは製品固有の番号ではなく原因の型を表す分類である点も混同しやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。