30 秒でわかる答えCVE は、公開された脆弱性につく世界共通の番号です。2025 年は約 4 万 8 千件が新たに登録されました。すべてを同じ重さで扱うより、実際に悪用されているものから先に直す。これが経営としての優先順位です。
CVE は、脆弱性の「背番号」です
CVE（シーブイイー）は、Common Vulnerabilities and Exposures の略です。ソフトウェアや機器に見つかった弱点に、「CVE-2025-12345」のような番号をつけ、世界中で同じ弱点を同じ名前で呼べるようにするしくみです。
番号があるおかげで、メーカーの修正のお知らせ、セキュリティ製品の検知、国の注意喚起が、同じ弱点の話だと突き合わせられます。日本では、JPCERT/CC と IPA が運営する JVN が、日本語で情報を出しています。
1 日に約 130 件。数は増え続けています
2025 年に公開された CVE は 48,185 件で、前年の 39,962 件から約 2 割増え、過去最多になりました。1 日あたり約 130 件です。
この数を人の手ですべて確かめるのは現実的ではありません。だからこそ、どれから直すかを決める「ものさし」が、経営の論点になります。
出典：Jerry Gamblin「2025 CVE Data Review」
深刻度と、狙われやすさは別のものです
CVE には、CVSS という 0〜10 点の深刻度がつきます。ただし、点数が高いことと、実際に攻撃に使われることは一致しません。研究では、公開された脆弱性のうち、実際に悪用が確認されたのは約 6% とされています。
そこで役立つのが、悪用される確率を予測する EPSS と、実際に悪用が確認された脆弱性の一覧である KEV（米国の CISA が公開）です。KEV には、2025 年末の時点で約 1,500 件が載っています。
| 用語 | 分かること | 中身 |
|---|---|---|
| CVSS | 深刻度 | 0〜10 点。被害の大きさの目安 |
| EPSS | 狙われやすさ | 30 日以内に悪用される確率の予測 |
| KEV | 実際の悪用 | 悪用が確認された脆弱性の一覧 |
公表から 1 日以内に狙われる時代です
VulnCheck の分析では、2025 年に初めて悪用が確認された 884 件のうち、約 29% が公表から 1 日以内に悪用されていました。
月に一度のまとめた更新を待つ間に、攻撃が始まる場面が増えています。KEV に載ったものは「何日以内に直す」と、あらかじめ決めておくことが要になります。
出典：Cyentia Institute、VulnCheck
経営が決めておく 3 つのこと
技術の細部は、担当者に任せて大丈夫です。経営が決めるのは、次の 3 つです。自社の機器とソフトウェアの一覧を持つこと。KEV に載ったものを直すまでの期限を決めること。そして、その期限が守れているかを、毎月の報告で見ることです。
- 1一覧を持つ使っている機器とソフトを把握
- 2優先をつけるKEV と EPSS で、狙われているものから
- 3期限を守る直すまでの日数を、毎月の報告で見る
確かめる 3 つの問い
- 自社で使っている機器とソフトウェアの一覧はありますか
- KEV に載った脆弱性を、何日以内に直すと決めていますか
- セキュリティの報告に、直すまでの日数が載っていますか
出典
- Jerry Gamblin「2025 CVE Data Review」
- Cyentia Institute「A Visual Exploration of Exploitation in the Wild」
- VulnCheck「State of Exploitation 2026」
- CISA KEV の件数の推移（Axis Intelligence の集計）
