CVEとは？しーぶいいー
CVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）は、個別の脆弱性にCVE-西暦-連番の形式で一意の識別番号を付け、製品や情報源をまたいで同じ脆弱性を指し示せるようにする共通識別子。MITREが採番を統括し、認定された組織（CNA）が番号を割り当てる。番号そのものは重大さを表さず、深刻度の評価はCVSSが担う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
同じ穴を、製品ベンダは自社の告知番号で、報道は製品名の通称で、検査ツールは独自IDで呼ぶ。名前が揃わないと、届いた複数の情報が同じものを指しているのか、自社に影響があるのかを人手で突き合わせるほかなく、対応が遅れる。番号を先に共有の名札として決め、各情報源がそれを併記するようにしたことで、脆弱性情報の突合が機械処理できるようになった。支援士では、脆弱性管理の手順を設計する側の語彙として問われる。
具体例
国内ではIPAとJPCERT/CCが運営するJVN、海外ではNISTのNVDが同じCVE番号で情報を出す。資産台帳に製品名とバージョンをCPE形式で持っておけば、公表されたCVEの影響製品と機械的に突き合わせられ、どの端末・どのサーバに手当てが要るかを人手で調べ直さずに絞り込める。
試験での引っ掛け
CVEは「個々の脆弱性の識別番号」、CWEは「脆弱性を生む弱点の種類の分類」、CPEは「製品・バージョンの識別名」、CVSSは「深刻度の評価尺度」。この4つの役割の入れ替えが定番の出題である。またCVEが採番されていることと修正版が提供されていることは別で、番号が付いた時点では回避策しか無い場合もある。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問3（IPA）
POODLE（CVE-2014-3566）攻撃の説明はどれか。
正解：SSL 3.0を使用した通信において，ブロック暗号のCBCモード利用時の脆弱性を突く攻撃であり，パディングを悪用して暗号化通信の内容を解読できる。
要点：POODLEはSSL3.0のCBCパディングを突く解読攻撃
POODLEはSSL 3.0のCBCモードにおけるパディング検証の甘さを突く攻撃です。攻撃者がパディング部分を書き換えて応答の可否を観測することで、暗号文を1バイトずつ解読できます。SSL 3.0の仕様上の欠陥であるため、対策はSSL 3.0の無効化です。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）
JVNなどの脆弱性対策ポータルサイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
正解：製品に含まれる脆弱性を識別するための識別子である。
要点：CVEは個々の脆弱性を一意に識別する共通番号
CVE識別子は、公開された個々の脆弱性に一意の番号を付けて世界共通で参照できるようにする仕組みです。これにより、異なるベンダや情報源の間でも同じ脆弱性を確実に指し示せます。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問2（IPA）
JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。
正解：製品に含まれる脆弱性を識別するための識別子
要点：CVEは脆弱性を一意に識別する共通の番号
CVE識別子は、公表された個々の脆弱性に一意の番号を割り当てて世界共通で参照できるようにする仕組みです。ベンダや情報源が違っても同じ番号で同一の脆弱性を指せるため、情報の突き合わせが容易になります。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問1（IPA）解説で登場
CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。
正解：機密性への影響,どこから攻撃が可能かといった攻撃元区分,攻撃する際に必要な特権レベルなど,脆弱性そのものの特性を評価する。
要点：基本評価基準は脆弱性そのものの不変な性質を測る指標
CVSS v3の基本評価基準（Base Metrics）は、脆弱性そのものが本質的に持つ特性を、時間や利用環境に左右されない形で評価する指標群である。攻撃元区分（AV）、攻撃条件の複雑さ（AC）、必要な特権レベル（PR）、利用者の関与（UI）といった攻撃可能性の指標と、機密性・完全性・可用性への影響度で構成される。一度算出すれば値は変わらず、CVE等で公表される「深刻度スコア」は通常この基本値を指す。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8（IPA）
JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。
正解：製品に含まれる脆弱性を識別するための識別子
要点：CVEは個々の脆弱性に付ける共通の識別番号
CVEは、個別の製品に存在する脆弱性そのものに一意の識別子（CVE-西暦-連番）を付ける仕組みで、MITREが採番している。異なるベンダーや情報源が同じ脆弱性を指していることを照合できるようにするのが目的であり、JVNやNVDなどのポータルで共通の見出しとして使われる。設定項目の識別はCCE、製品の識別はCPEと、対象ごとに別の体系が用意されている。
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (4) 脆弱性評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。