最終更新日：
CVSSとは、脆弱性の深刻さを、0.0から10.0までの数値と段階で示す、共通の評価の方法です。
CVSSは Common Vulnerability Scoring System（共通脆弱性評価システム）の略で、国際的な団体 FIRST が仕様を公開しています。現在の版は CVSS v4.0 で、評価の項目は、脆弱性そのものの性質を表す「基本（Base）」、攻撃の状況を表す「脅威（Threat）」、使っている環境を表す「環境（Environmental）」、補足の情報を表す「補足（Supplemental）」の4つのグループに分かれています。
仕様では、数値の0.0を「なし」、0.1〜3.9を「低（Low）」、4.0〜6.9を「中（Medium）」、7.0〜8.9を「高（High）」、9.0〜10.0を「緊急（Critical）」と区分しています。日本の脆弱性の情報をまとめている JVN でも、2025年4月21日から、CVSS v4 による評価を CVSS v3 の評価とあわせて載せています。
基本の値は脆弱性そのものの深刻さを表すもので、自社にとっての危険の大きさとは限りません。インターネットに公開しているか、重要な情報を扱うか、すでに攻撃に使われているかによって、直す順番は変わります。脆弱性診断の報告書や脆弱性管理では、CVSSの値を目安にしながら、自社の状況を加えて優先順位を決めます。
関連する用語
- 脆弱性ソフトウェアや設定にある、攻撃に悪用されうるセキュリティ上の弱点です。
- 脆弱性管理使っているシステムの脆弱性の情報を集め、影響を見極めて、直すまでを続けて管理することです。
- 脆弱性診断システムに脆弱性がないかを、専用の道具や技術者の手で調べることです。
- セキュリティパッチソフトウェアに見つかった脆弱性を直すために、提供元が配る修正のプログラムです。