脆弱性 - Cyber SEC TSM | サイバーセキュリティTSM

脆弱性

脅威に悪用されうる、システムや手順の弱点です（英語では vulnerability）。下の定義のとおり、脆弱性は「悪用されうる」弱点であり、それを突く脅威と組み合わさって、被害の可能性が生まれます。

定義

NIST の用語集は、FIPS 200（CNSSI 4009 を改変）などの定義として、脆弱性を「脅威源に悪用されうる、または誘発されうる、情報システム、セキュリティの手順、内部統制、実装の弱点」としています。

定義のとおり、脆弱性はソフトウェアの欠陥だけではありません。

どこにあるか	例
ソフトウェアの実装	プログラムの誤り（バッファオーバーフローなど）。悪用されると、外部から任意のコードを実行される（リモートコード実行）ことがある
設定	インターネットに出ている機器の設定の誤り。米国の CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）などのランサムウェア対策の指針は、脆弱性と並べて、侵入の入口の一つに挙げている
手順・内部統制	本人確認の手順が弱い、重要な操作を1人で完結できる、など（ソーシャルエンジニアリング、職務の分離）

脆弱性の情報の見方

仕組み	内容
CVE の番号	公開された脆弱性に付く、共通の識別番号（例：CVE-2017-0144）。米国の NVD（National Vulnerability Database）などで、番号から説明や評価を引ける。付いている評価の版は脆弱性によって異なり、古い脆弱性には CVSS v4.0 の評価が無いこともある
JVN	日本の脆弱性対策情報のポータルサイト。JPCERT コーディネーションセンター（JPCERT/CC）と情報処理推進機構（IPA）が、2004年7月から共同で運営している。対策として、修正だけでなく回避策（ワークアラウンド）が載ることもある
CVSS	脆弱性の特徴と深刻度を、0〜10 の点数などで伝えるための共通の枠組み。最新版の v4.0 は、基本（Base）・脅威（Threat）・環境（Environmental）・補足（Supplemental）の4つの評価の群からなる
KEV	米国の CISA が管理する、実際に悪用された脆弱性の一覧（Known Exploited Vulnerabilities）。載るのは、CVE の番号があり、実際に悪用された（試みを含む）確かな証拠があり、修正などの明確な対処の方法があるものに限られる。このため、悪用されていても一覧に無い脆弱性がありうる。CISA は、すべての組織に、一覧を確認して修正の優先度を上げることを強く勧めている

深刻度と優先度は別のもの

CVSS の仕様書（v4.0）は、利用する側が、基本の評価に、脅威と自組織の環境の評価を加えて、自組織に合ったリスク評価の材料にするよう求めています。また、規制上の要求、影響を受ける顧客の数、漏えいによる金銭的な損失、生命や財産への脅威、評判への影響などは CVSS の範囲外で、組織の脆弱性管理の中で別に考えるものとしています。

このことから、基本の点数が高い順に直すだけでは、実際に悪用されている脆弱性が後回しになりえます。KEV のような悪用の情報と、自組織で影響を受ける資産の重要度を合わせて、直す順番を決めます（脆弱性管理）。

守る手段

手段	内容
修正の適用	製品の提供者の修正（パッチ）を、優先度に従って適用する（脆弱性管理）
見つける	資産の一覧と照合し、脆弱性を探す（脆弱性スキャン）
修正が出るまで	製品の提供者の回避策を使う。CISA は、修正が出たら回避策から移るのが望ましいとしつつ、脆弱なまま放置するより回避策を使うことを勧めている
修正できないとき	使っていない機能やサービスを止める（M1042）、ネットワークを分けて到達できる範囲を絞る（M1030）、サービスのアカウント（人ではなくプログラムが動くための専用のアカウント）の権限を絞る（M1026）。MITRE ATT&CK（攻撃者の手口を整理した公開の知識ベース）は、内部のサービスの脆弱性を突く手口（T1210）への緩和策として、これらを挙げている。M で始まる番号は ATT&CK の対策の番号（ネットワークセグメンテーション、最小権限の原則）
悪用に備える	まだ知られていない脆弱性もある（ゼロデイ攻撃）。悪用されたときの検知と対応を用意する（検知、対応）

関連するページ

脆弱性管理・脆弱性スキャン・ゼロデイ攻撃・脆弱性の悪用・バッファオーバーフロー・リモートコード実行・eternalblue

出典

• NIST CSRC Glossary: vulnerability（FIPS 200〔CNSSI 4009 を改変〕ほか）
• FIRST「Common Vulnerability Scoring System version 4.0: Specification Document」（Document Version 1.2）
• CISA「Reducing the Significant Risk of Known Exploited Vulnerabilities」
• NVD「CVE-2017-0144」
• JVN「Japan Vulnerability Notes／JVN とは？」
• CISA ほか #StopRansomware Guide（2023年10月）
• MITRE ATT&CK T1210 Exploitation of Remote Services（2026年8月更新）

確認日：2026年10月17日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（Terms of Use）
CVSS：CVSS is owned by FIRST and used by permission.