CWEとは？しーだぶりゅーいー
CWEとは、SQLインジェクションやバッファオーバフローのように、脆弱性を生む「弱点の種類」を体系立てて分類・列挙した一覧。個々の製品で見つかった脆弱性そのものではなく、その原因の型に番号を付ける枠組みで、再発防止と診断結果の傾向分析に使う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脆弱性を1件ずつ直しても、同じ書き方をしている箇所が残っていれば同じ欠陥がまた現れる。原因を型として名付けておけば、指摘を型ごとに束ねて共通の修正へ落とし込め、開発者教育やコーディング規約の単位としても使える。CVEやCVSSが「見つかった1件」を扱うのに対し、CWEは「なぜ生まれるか」の側を扱うために用意された。
具体例
MITREとCISAは実際のCVEを集計してCWE Top 25を毎年公表している。診断結果をCWEで束ね、CWE-89（SQLインジェクション）が多ければDBアクセス層を、CWE-79（XSS）が多ければテンプレートのエスケープを共通で直す、という使い方をする。
試験での引っ掛け
CVEとの取り違えが定番。CVEは個々の製品の脆弱性1件ごとに付く識別子、CWEはその原因となる弱点の型の分類。深刻度を数値で表すのはCVSS、製品とバージョンを識別するのはCPEで、それぞれ役割が違う。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。
正解：ソフトウェア及びハードウェアの脆弱性の種類の一覧
要点：CWEは脆弱性の原因となる弱点の種類を分類した一覧
CWEは、バッファオーバフローや不適切な入力検証といったソフトウェア・ハードウェアの弱点の種類を体系的に分類し、識別子を付けた一覧である。個々の製品に存在する具体的な脆弱性を指すCVEに対し、CWEはその原因となる弱点の型を表すため、傾向分析や開発時の作り込み防止に役立つ。脆弱性情報のポータルでは、報告された脆弱性がどの弱点分類に当たるかをCWE番号で示している。
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）解説で登場
MITREの役割に該当するものはどれか。
正解：CVEの事務局であり,サイバー攻撃のプロセスを記述したナレッジベースの公開をする。
要点：MITREはCVEの事務局でATT&CKなども公開する
MITREは米国の非営利組織で、脆弱性に一意の識別子を付けるCVEの採番・管理を担う事務局として知られる。あわせて、攻撃者が実際に用いる戦術と技術を体系化したナレッジベースであるATT&CKや、弱点の分類であるCWEなども公開している。標準やガイドラインを発行するNISTとは役割が異なるので、混同しないよう区別しておきたい。
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (4) 脆弱性評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。