CVSSが生まれた理由は単純です。ベンダーごとに「重要」「緊急」の基準がバラバラだと、比べられないからです。A社の「高」とB社の「高」が同じ意味かどうか分からなければ、どちらを先に直すか決められません。

そこで、共通の計算式で数値化することにしました。数値には、次の定性的な区分が対応します。

出典：FIRST「CVSS v4.0 Specification Document」Qualitative Severity Rating Scale。

第1章 おわり — 次は第2章

ここまでを読んで「では脆弱性情報でスコアを見ればいい」と思われたかもしれません。ところが2026年4月15日、その前提が大きく変わりました。

多くの組織は、NIST（米国国立標準技術研究所）が運営する脆弱性データベース NVD が付けたCVSSスコアを参照してきました。NISTはこれまで、提出されたすべてのCVEに独自の深刻度スコアを付けていました。その方針が廃止されました。

出典：NIST「NIST Updates NVD Operations to Address Record CVE Growth」（2026年4月15日発表、4月17日更新）。

優先してエンリッチ（詳細情報の追加）される対象は、次の3つに絞られました。

出典：同上。優先対象外のCVEもNVDには掲載されますが、詳細情報の追加は予定されません。利用者からエンリッチを要請することは可能とされています。

なぜこうなったのか。NISTは背景として、CVE件数が2020年から2025年の間に263%増加したこと、そして2026年第1四半期の提出が前年同期比で約33%増えていることを挙げています。全件を人手で分析し続けることが、量的に成り立たなくなったということです。

第2章 おわり — 次は第3章

CVSS v4.0には4つのメトリックグループがあります。ニュースで見る数字がどれにあたるのかを知ると、読み方が変わります。

出典：FIRST「CVSS v4.0 Specification Document」の各メトリックグループの説明にもとづく整理。日本語は筆者によるものです。

ここで重要なのは3行目です。「その資産が自社にとってどれだけ重要か」「どんな対策をすでに施しているか」は、Environmental グループで表現します。そしてこれを付けられるのは、あなたの組織だけです。

ニュースやデータベースに出てくる数字は、ほぼBaseグループだけの値です。つまりあなたの環境を一切考慮していない数字を見ていることになります。

だからFIRSTは、呼び名を分けました

CVSS v4.0では、どこまでのグループを使って算出したスコアなのかを名前で区別することになっています。

出典：FIRST「CVSS v4.0 Specification Document」の Nomenclature。

なお、v3.1からv4.0への主な変更点としては、Attack Requirements（AT）という指標の新設、Supplementalグループの新設、そして脆弱性のあるシステム（Vulnerable System）と、その先に影響が及ぶシステム（Subsequent System）への影響を分けて表現する設計が挙げられます。

第3章 おわり — 次は第4章

この分野は略語が並ぶので、役割で整理します。

EPSS（Exploit Prediction Scoring System）はFIRSTが管理する仕組みで、今後30日以内に実際に悪用される確率を0〜1の値で示します。バージョン4は2025年3月17日にリリースされています。

この表を縦に読むと、CVSSだけでは答えが出ないことが分かります。CVSSは「もし」の話、KEVは「事実」、EPSSは「予測」です。3つは競合ではなく、それぞれ違う問いに答えています。

第4章 おわり — 次は第5章

個人がCVSSを使って何かを判断する場面は、ほとんどありません。ただしニュースで「深刻度10の脆弱性」と見たとき、それが自分に関係するのかを判断できると、余計な不安を持たずに済みます。

次の順に確認してください。

個人向けの確認手順として筆者が整理したものです。

第5章 おわり — 次は第6章

第2章と第3章を踏まえると、「CVSSが7.0以上を対応する」という単一のルールは、もう機能しません。理由は3つです。スコアが付いていないCVEが増えたこと、スコアが自社環境を考慮していないこと、そして実際に悪用されているかを反映していないことです。

代わりに、3〜4つの軸で見るのが現在の一般的な考え方です。

一般的な優先順位付けの考え方の整理です。組織の体制・システム構成によって適切な重み付けは異なります。

1番と2番を先に見るのが要点です。「実際に悪用されていて、かつ自社がインターネットに露出している」——この2つが重なるものは、CVSSが何点であろうと最優先です。

そして2026年4月のNVDの方針変更は、この考え方を後押しする方向に働きます。KEV掲載分は1営業日以内という目標が置かれたため、実際に悪用されているものについては情報が確実に整うようになりました。逆に言えば、KEVを見ない運用は、いま最も情報が充実している部分を捨てていることになります。

第6章 おわり — 次は第7章

朝、重大な脆弱性の報道が出ている。取引先から問い合わせが来ている。この場面での10分間の使い方を書きます。

実務上の一般的な整理です。実際の判断はシステム構成・契約内容によって異なります。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ