「CVE-2024-XXXXという脆弱性情報を調べたい」「自社のシステムに影響する脆弱性を把握したい」「CVSSスコアの意味を理解したい」——セキュリティ担当者が脆弱性管理で参照する代表的なデータベースの一つが「NVD」です。

NVD（National Vulnerability Database：国家脆弱性データベース）とは、米国国立標準技術研究所（NIST）が運営する、公開された脆弱性情報を検索・参照できる代表的な脆弱性データベースです。CVE（共通脆弱性識別子）をベースに、CVSSスコア、CPE、CWE、参考リンクなどの情報を確認できます。

本記事では、NVDの概要、CVEとの違い、CVSSスコアの読み方、CPE/CWE、NVDの実際の使い方、JVNとの違い、2024年以降のNVDエンリッチメント遅延・運用変更、企業での活用方法、APIの活用、被害・注意事例、FAQまで解説します。

NVD（National Vulnerability Database）とは？

NVD（National Vulnerability Database）とは、米国国立標準技術研究所（NIST：National Institute of Standards and Technology）が運営する、ソフトウェアやハードウェアの脆弱性情報を検索・参照できる公開データベースです。

NVDでは、CVE番号をもとに、脆弱性の概要、深刻度、影響を受ける製品、脆弱性の種類、参照リンクなどを確認できます。脆弱性管理ツール、セキュリティ担当者、開発者、研究者などが広く参照しています。

NVDの基本情報

CVEとNVDの違い

NVDとCVEは密接に関連していますが、同じものではありません。CVEは脆弱性に共通の識別番号を付ける仕組みで、NVDはそのCVE情報をもとに詳細情報を整理して提供するデータベースです。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

CVSSスコアとは？読み方を解説

CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）は、脆弱性の深刻度を0.0〜10.0の数値で表す評価方法です。NVDでは、CVEにCVSSスコアが表示される場合があります。

ただし、CVSSスコアはあくまで脆弱性そのものの深刻度を示す指標です。自社にとっての実際のリスクは、該当製品を使っているか、インターネットに公開しているか、悪用が確認されているか、パッチや緩和策があるかによって変わります。

CVSSのスコア段階

CVSSのメトリクス（評価指標）

CVSSスコアは、複数の評価指標を組み合わせて算出されます。CVSS v3.1では、主に以下のような指標が使われます。

• 攻撃元区分（AV）：Network、Adjacent、Local、Physical
• 攻撃の複雑さ（AC）：Low、High
• 必要な特権レベル（PR）：None、Low、High
• ユーザー関与（UI）：None、Required
• 影響範囲（S）：Unchanged、Changed
• 機密性への影響（C）：None、Low、High
• 完全性への影響（I）：None、Low、High
• 可用性への影響（A）：None、Low、High

CPEとCWEとは

CPE（Common Platform Enumeration：共通プラットフォーム列挙子）

CPEは、ソフトウェア、ハードウェア、OSなどの製品情報を標準化された形式で記述する識別子です。NVDでは、CVEに対して「どの製品やバージョンに影響があるか」をCPEで示す場合があります。

CPEのフォーマット例：

CPEを使うことで、脆弱性管理ツールが「自社で利用している製品に影響するCVE」を自動的に抽出しやすくなります。

ただし、NVDのCPE情報が公開直後に付与されるとは限りません。また、製品名やバージョンの表記ゆれ、ベンダー側の情報不足により、自社資産との照合が難しい場合もあります。

CWE（Common Weakness Enumeration：共通脆弱性タイプ一覧）

CWEは、ソフトウェアの弱点や脆弱性の種類を分類する識別子です。NVDでは、CVEに対して「この脆弱性はどのような種類の弱点に分類されるか」をCWEで示す場合があります。

代表的なCWEの例：

• CWE-79：クロスサイトスクリプティング（XSS）
• CWE-89：SQLインジェクション
• CWE-787：境界外書き込み
• CWE-416：解放済みメモリの使用（Use After Free）
• CWE-22：パストラバーサル

CWEは、脆弱性の原因を整理したり、開発チームの教育・セキュアコーディング対策に活用したりする際に役立ちます。

NVDの実際の使い方・検索方法

基本的な検索手順

1. nvd.nist.govにアクセスする
2. 「Vulnerabilities」または検索機能を開く
3. 検索ボックスにCVE番号、製品名、ベンダー名、キーワードを入力する
4. 検索結果から該当するCVEをクリックして詳細ページを開く
5. 詳細ページで情報を確認する：概要、CVSSスコア、影響を受ける製品、CWE、参考リンク、ベンダーアドバイザリなど

確認すべきポイント

NVDでCVEを確認する際は、スコアだけでなく、次の点を確認することが重要です。

• 自社で該当製品・バージョンを使っているか
• インターネットに公開されているシステムか
• 認証なしで攻撃できる脆弱性か
• 実際に悪用されているか
• ベンダーがパッチや緩和策を公開しているか
• CISA KEVやJVN、JPCERT/CCなどで注意喚起されているか

フィルタリング機能の活用

• CVSSスコアでフィルタ：CriticalやHighを優先的に確認する
• 公開日でフィルタ：直近7日間・30日間など、新しく公開された脆弱性を確認する
• CPEでフィルタ：特定の製品やバージョンに影響する脆弱性を確認する
• キーワードで検索：製品名、ベンダー名、脆弱性名などで検索する

JVN（日本）との違い

日本国内でよく参照される脆弱性情報サイトとして「JVN（Japan Vulnerability Notes）」があります。JVNは、IPAとJPCERT/CCが共同で運営している脆弱性対策情報ポータルです。

2024年以降のNVDエンリッチメント遅延・運用変更

2024年初頭以降、NVDでは新規CVEに対するCVSSスコア、CPE、CWEなどのエンリッチメント付与に遅延が発生しました。NISTは、CVE件数の増加により、従来のようにすべてのCVEへ同じペースで詳細分析を付与する運用が難しくなったことを説明しています。

エンリッチメントとは

エンリッチメントとは、CVEに対してNVD側が追加する分析情報のことです。たとえば、以下のような情報が含まれます。

• CVSSスコア
• CPEによる影響製品情報
• CWEによる弱点分類
• 参考リンクやパッチ情報の整理

CVE自体は公開されていても、NVD側のエンリッチメントが完了していない場合、脆弱性管理ツールで深刻度や影響製品を判断しにくくなることがあります。

2026年時点の運用変更

2026年には、NVDが優先度に応じたエンリッチメント運用へ移行していることが公表されています。つまり、今後はNVDにCVEが掲載されていても、すべての脆弱性に直ちにCVSS、CPE、CWEなどの情報が付与されるとは限りません。

NVDは脆弱性管理に重要な情報源ですが、NVD単独に依存すると、エンリッチメント未完了のCVEを見落としたり、対応優先度を誤ったりするリスクがあります。

企業が取るべき対応

企業の脆弱性管理では、NVDだけに依存せず、複数の情報源を組み合わせることが重要です。

• CVE.org：CVEの基本情報を確認する
• ベンダーアドバイザリ：影響製品、修正バージョン、緩和策を確認する
• JVN・JPCERT/CC：国内向けの注意喚起や日本語情報を確認する
• CISA KEV：実際に悪用が確認されている脆弱性を優先する
• GitHub Advisory Database：OSSライブラリの脆弱性を確認する
• 脆弱性スキャナー：自社環境に該当するかを確認する

参考：National Vulnerability Database｜NIST
参考：NIST Updates NVD Operations to Address Record CVE Growth｜NIST

企業でのNVD活用方法

脆弱性管理プロセスへの組み込み

NVDは、脆弱性管理の情報源の一つとして活用できます。自社で利用しているOS、ミドルウェア、ソフトウェア、OSSライブラリ、ネットワーク機器、クラウドサービスなどに関連するCVEを定期的に確認します。

• 資産管理との連携：自社で使っている製品・バージョンを把握する
• CVEの確認：NVD、CVE.org、ベンダー情報で関連脆弱性を調べる
• 影響確認：該当バージョンか、設定条件が一致するかを確認する
• 優先順位付け：CVSS、KEV掲載、外部公開の有無、重要資産かどうかを組み合わせて判断する
• 対応：パッチ適用、緩和策、設定変更、監視強化などを実施する

CVSSスコアだけに頼らない優先度判断

CVSSスコアが高い脆弱性は重要ですが、スコアだけで対応順を決めるのは危険です。自社環境で実際に悪用される可能性があるかを確認する必要があります。

優先度判断では、次の情報を組み合わせます。

• CVSSスコア
• CISA KEVへの掲載有無
• PoCコードや攻撃コードの公開有無
• インターネット公開システムかどうか
• 認証なしで攻撃可能か
• 業務への影響度
• パッチや緩和策の有無

脆弱性スキャナー・SIEMとの連携

脆弱性スキャナーやSIEM、SOAR、資産管理ツールでは、NVDのCVE情報やCVSSスコア、CPE情報を参照することがあります。

ただし、NVDのエンリッチメントが未完了の場合、CPEやCVSSが不足し、ツール側の優先度付けが不十分になる場合があります。そのため、ベンダー情報やスキャナー独自の検知、KEV情報、実際の外部露出状況と組み合わせることが重要です。

NVD APIの活用

NVDはAPIを提供しており、プログラムから脆弱性情報を自動取得できます。自社の資産台帳や脆弱性管理システムと連携すれば、特定製品に関連するCVEの定期チェックを自動化できます。

NVD APIは無料で利用できますが、レート制限があります。継続的に自動取得する場合はAPIキーを取得し、NVDの利用条件や推奨されるアクセス間隔に従って実装する必要があります。

参考：NVD API Developers｜NVD
参考：NVD API Key｜NVD

NVDに関連する被害・注意事例2選

事例1：Log4Shell（CVE-2021-44228）による大規模な脆弱性対応

NVDやCVEを活用した脆弱性管理の重要性を示す代表例が、Apache Log4jの脆弱性「Log4Shell」です。サイバーセキュリティ.comの記事でも、Log4ShellはCVE-2021-44228として登録された、Apache Log4jに存在する深刻なリモートコード実行脆弱性として紹介されています。

Log4Shellは、多くのJavaアプリケーションやサービスに影響する可能性があり、悪用されると攻撃者に任意のコードを実行されるおそれがあります。影響範囲が広く、公開後に世界中で攻撃が観測されたため、企業は自社システムや利用中のソフトウェアにLog4jが含まれていないかを急いで確認する必要がありました。

このような重大脆弱性では、NVDのCVSSスコアだけでなく、CVE.org、ベンダーアドバイザリ、JPCERT/CC、JVN、CISA KEVなど複数の情報源を確認し、自社環境で実際に影響があるかを判断することが重要です。

事例2：MOVEitの脆弱性悪用による情報流出懸念

NVDやCVE情報をもとに、ベンダー製品の脆弱性へ迅速に対応する重要性を示す事例が、MOVEitの脆弱性悪用です。サイバーセキュリティ.comの記事では、Progress Software社が提供するファイル転送サービス「MOVEit」の脆弱性を利用したゼロデイ攻撃により、情報流出懸念が生じた事例が紹介されています。

ファイル転送サービスやVPN、リモートアクセス製品など、外部公開されるシステムの脆弱性は、攻撃者に悪用されやすい傾向があります。該当製品を利用している企業は、NVDの情報だけでなく、ベンダーのセキュリティアドバイザリ、CVE情報、JVN、CISA KEVなどを確認し、パッチ適用や一時的な緩和策を早急に判断する必要があります。

この事例は、NVDを「見るだけ」ではなく、自社の資産管理情報と照合し、影響製品の有無、公開範囲、悪用状況、パッチの有無を踏まえて対応優先度を決めることの重要性を示しています。

「MOVEit」不正アクセス原因で情報流出懸念、ブリストル・マイヤーズ スクイブ

2023.9.7

画像：ブリストル・マイヤ

よくある質問（FAQ）

Q. CVEとNVDはどちらを参照すればいいですか？

CVEの基本情報を確認したい場合は、CVE.orgで確認できます。CVSSスコア、CPE、CWE、参考リンクなどを含めて確認したい場合はNVDが便利です。

ただし、NVDのエンリッチメント情報が常に即時に付与されるとは限りません。実務では、NVDだけでなく、CVE.org、ベンダーアドバイザリ、JVN、JPCERT/CC、CISA KEVなどを併用することが重要です。

Q. CVSSスコアが高ければ必ず緊急対応が必要ですか？

CVSSスコアが高い脆弱性は優先的に確認すべきですが、必ずしも自社で緊急対応が必要とは限りません。

たとえば、CVSSが高くても、自社で該当製品を使っていない場合や、影響を受ける機能を無効化している場合、インターネットに公開していない場合は、実際のリスクが下がることがあります。

一方で、CVSSが中程度でも、実際に悪用されている脆弱性や、インターネット公開システムに影響する脆弱性は優先対応が必要になる場合があります。CVSSに加えて、悪用状況、公開範囲、業務影響、パッチ有無を組み合わせて判断してください。

Q. NVDのAPIは無料で使えますか？

はい。NVD APIは無料で利用できます。ただし、レート制限があります。APIキーなしでも利用できますが、継続的にデータを取得する場合はAPIキーを取得した方が安定して利用しやすくなります。

また、APIを使う場合は、NVDの利用条件や推奨されるアクセス間隔を確認し、過剰なリクエストを送らないように実装する必要があります。

Q. JVNとNVDで同じCVEのCVSSスコアが異なることは？

はい、あります。CVSSスコアは、評価する組織や前提条件によって異なる場合があります。NVD、JVN、CNA、ベンダーが異なるスコアを提示することもあります。

どれか一つだけを絶対視するのではなく、ベンダーアドバイザリ、自社環境での影響、悪用状況、パッチ有無を含めて判断することが重要です。

Q. NVDの2024年遅延問題は現在どうなっていますか？

2024年初頭以降、NVDでは新規CVEに対するエンリッチメント付与の遅延が問題になりました。2026年時点では、NISTがすべてのCVEを同じように処理するのではなく、優先度に応じてエンリッチメントを行う運用へ変更しています。

そのため、NVDにCVEが掲載されていても、CVSSスコア、CPE、CWEなどの情報がすぐに揃うとは限りません。企業はNVD単独に依存せず、CVE.org、ベンダー情報、JVN、JPCERT/CC、CISA KEV、GitHub Advisory Databaseなどを併用する体制を整えることが重要です。

まとめ

NVD（National Vulnerability Database）は、NISTが運営する代表的な脆弱性データベースです。CVEをベースに、CVSSスコア、CPE、CWE、参考リンクなどの情報を確認でき、脆弱性管理の重要な情報源として利用されています。

CVEは脆弱性に共通の識別番号を付ける仕組みであり、NVDはそのCVEに関連する詳細情報を整理して提供するデータベースです。CVSSスコアは脆弱性の深刻度を把握するうえで役立ちますが、自社にとっての実際のリスクは、資産状況、外部公開の有無、悪用状況、パッチの有無によって変わります。

2024年以降、NVDではエンリッチメント遅延が問題となり、2026年には優先度に応じたエンリッチメント運用へ移行しています。そのため、NVDだけに依存するのではなく、CVE.org、ベンダーアドバイザリ、JVN、JPCERT/CC、CISA KEV、GitHub Advisory Databaseなど複数の情報源を組み合わせることが重要です。

企業では、NVDの定期確認、資産管理との照合、CVSSとKEVを組み合わせた優先度判断、脆弱性スキャナーとの連携、APIを活用した自動化により、効率的な脆弱性管理プロセスを整備することが求められます。