脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方

脆弱性の情報は、毎日のように公表されています。すべてに同じ速さで対応するのは難しいため、まず自社に関係する情報を見分け、次に対応の順番を決める、という2つの段階で考えると、限られた人手でも重要なものから手を打てます。

まず、何を使っているかを把握する

脆弱性の情報を集める前に、自社で使っている製品と版の一覧をつくります。一覧がないと、公表された情報が自社に関係するかどうかを判断できません。

• インターネットに面したもの：Webサイト、サーバー、VPN機器やファイアウォールなどの機器、クラウドのサービス
• その上で動いているもの：OS、Webサーバー、データベース、PHP などの言語の実行の環境、CMSとプラグイン、ライブラリ
• 社内のもの：パソコンのOS、よく使うソフトウェア、業務のシステム

一覧には、製品の名前、いまの版、担当、提供元のサポートの期限を書きます。サポートの終わった製品には、脆弱性が見つかっても修正が出ないため、入れ替えの計画の対象にします。

情報の集め先

製品の提供元の発表

基本になるのは、使っている製品の提供元が出すセキュリティの発表です。修正版の公開、影響を受ける版、一時的な回避策が書かれています。メールの配信や、発表のページの更新の通知を受け取れるようにしておきます。PHPであれば、php.net のニュースで修正版の公開が案内されます。

JVN と JVN iPedia

JVN（Japan Vulnerability Notes）は、JPCERT/CC と IPA が共同で運営している、日本で使われているソフトウェアなどの脆弱性の情報と対策を提供するサイトです。日本語で読めるため、国内の製品の情報を確かめるときに役立ちます。脆弱性の情報を集めたデータベースとして、JVN iPedia もあります。

出典：JVN／JVN iPedia

IPA の注意喚起

IPA は、影響が大きく、早めの対応が必要な脆弱性について「重要なセキュリティ情報」として注意喚起を出しています。対象になる製品を使っている場合は、優先して確かめます。

出典：重要なセキュリティ情報（IPA）

米国CISAの KEV カタログ

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用されたことが確認された脆弱性の一覧として、KEV（Known Exploited Vulnerabilities）カタログを公開しています。CISAは、このカタログを脆弱性の対応の優先順位づけに使うよう案内しています。日本の製品に限らないため、海外製の機器やソフトウェアを使っている場合に役立ちます。

出典：Known Exploited Vulnerabilities Catalog（CISA）

脆弱性には、CVEという共通の番号（例：CVE-2026-109618）が付けられていることが多く、同じ脆弱性の情報を、提供元の発表・JVN・KEVの間で照らし合わせるときの手がかりになります。

優先順位のつけ方

脆弱性の深刻さを表す指標として、CVSSがよく使われます。CVSSの基本の値は、脆弱性そのものの深刻さを0.0から10.0で表したもので、自社にとっての危険の大きさとは限りません。対応の順番は、CVSSの値に、悪用の有無、インターネットから届くか、扱う情報の重要さ、修正版や回避策の有無の4点を加えて決めます。KEV カタログや提供元・IPA の発表で悪用が確認されているもの、外に公開しているサイトや機器のもの、個人情報や取引先の情報・業務を止められないシステムに関わるものは急ぎます。修正版が出ていれば当てる日を決め、すぐに当てられなければ回避策で危険を下げます。

同じCVSSの値でも、インターネットに公開しているサイトの脆弱性と、社内の限られた人しか使わないシステムの脆弱性では、急ぐ度合いが違います。反対に、CVSSの値が中程度でも、すでに悪用されていて、インターネットから届く機器であれば、早めに対応します。

修正をすぐに当てられないとき

修正版を当てるには、動作の確かめや、サービスを止める時間の調整が要ることがあります。すぐに当てられない場合は、提供元が案内する回避策（機能を止める、設定を変える、外からの接続を制限するなど）で、当てるまでの間の危険を下げます。回避策は一時的なものと考え、修正版を当てる日を決めておきます。

修正を当てる手順や、誰が当てるかの決め方は、脆弱性診断の後、直すところまでで説明しています。

対応を記録に残す

どの脆弱性の情報を確かめ、自社に関係するかをどう判断し、いつ、何をしたかを記録に残します。記録があれば、対応の漏れに気づきやすくなり、取引先や監査で対策の状況を説明するときの拠りどころにもなります。こうした一連の取り組みは脆弱性管理と呼ばれます。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、使っている製品と版の棚卸し、脆弱性の情報の確かめ方と優先順位の決め方づくり、修正の適用までをご支援しています。Webサイトの PHP の版とサポートの状況は、無料のPHPバージョン診断で確かめられます。