刑事事件のニュースを思い浮かべてください。報道では2つの情報が出てきます。「いつ、どこで、誰が起こした事件か」と、「それは何という罪にあたるか」です。

脆弱性の世界も、まったく同じ構造をしています。

この例のように、1件のCVEに複数のCWEがひもづくことは珍しくありません。「入力のチェックが甘く（CWE-20）、その結果コマンドとして実行されてしまった（CWE-77）」というように、失敗が連なっているためです。刑事事件で1つの行為に複数の罪名がつくのと同じです。

CVE番号は世界にひとつだけの通し番号です。「CVE-2024-3400」と言えば、世界中の誰が聞いても同じ1件の脆弱性を指します。製品名も、発見された年も、そこに固定されています。

一方でCWE番号は種類の名前です。「CWE-77」は特定の製品の話ではありません。どの会社の、どの製品で起きたことであっても、「本来データとして扱うべき入力を、コマンドとして実行してしまった」という失敗であれば、それはCWE-77です。

MITREはこの違いを、次のように説明しています。

つまり、CWEが原因の型で、CVEが結果の実例です。CWEとCVEは、MITREが運営する「姉妹プログラム」という位置づけになっています。

数の違いに注目してください。CVEは毎年数万件のペースで増え続けますが、CWEは944件しかありません。 事件はいくらでも起きますが、罪名の種類は限られている、という関係です。

これが、CWEが分析に向いている理由です。CVEを1件ずつ眺めても全体像は見えませんが、CWEでまとめ直すと「この組織は入力チェックの失敗ばかり繰り返している」といった傾向が見えてきます。

CWEを調べていると、同じような内容なのに番号が複数あって戸惑うことがあります。たとえば「認証」まわりだけでもCWE-287、CWE-306、CWE-288と並んでいます。これは重複ではなく、抽象度が違うためです。

CWEには4段階の抽象度があります。

加えて、複数の弱点が組み合わさったものを表すCompound（複合要因）という区分もあります。

実務で目にするCWEの多くはBaseレベルです。「CWE-287（不適切な認証）」より「CWE-306（重要な機能に認証が無い）」のほうが具体的で、対策も立てやすいためです。

ビュー：目的別の並べ替え

944件を全部覚える必要はありません。CWEには、目的に応じて必要なものだけを取り出したビューという仕組みがあります。

CWEはソフトウェアだけのものではありません。 公式の定義でも「ソフトウェアおよびハードウェアの弱点の一覧」とされており、設計・アーキテクチャ・コード・実装のどの段階で生まれた弱点も対象になります。

CWEには日本語の正式名称があります。IPA（情報処理推進機構）が使っている呼び方は「共通脆弱性タイプ一覧」です。CVEのほうは「共通脆弱性識別子」と訳されます。

日本語の資料でCWEを見る機会は、思っているより多くあります。

CWEはSCAP（セキュリティ設定共通化手順）という枠組みの構成要素のひとつでもあります。SCAPは、脆弱性の情報を機械が読める形でやり取りするための共通仕様の集まりで、CVE・CWE・CVSSなどが部品として組み込まれています。「なぜ番号で表現するのか」の答えがここにあります——人が読むためではなく、機械が集計・照合できるようにするためです。

ちなみにJVN iPediaの登録状況を見ても、件数が多いCWEはCWE-79（クロスサイトスクリプティング）が上位に来ます。これは世界的な傾向と一致しています。

ここまで来たら、混同しやすい残りの用語もまとめて整理してしまいましょう。脆弱性の情報には、役割の違う5つの指標が登場します。

この5つは、それぞれ違う問いに答えています。どれか1つで判断すると必ず間違えます。 実例を見てください。

2行目に注目してください。CVSSは5.3（中程度）にすぎませんが、EPSSは0.94、しかも実際に悪用されてKEVに載っています。 「CVSSが7未満だから後回し」という運用をしていたら、この脆弱性は取りこぼされます。

3行目も面白い例です。2行目と同じ製品・同じCWE・同じCVSSなのに、EPSSは0.011と桁違いに低い。それでもKEVには載っています。予測はあくまで予測で、外れることもあるということです。

944件すべてを覚える必要はありません。ニュースや脆弱性情報でくり返し登場するのは、実際にはごく一部です。次の15個を知っていれば、たいていの記事は読めます。

眺めていると、大きく3つのグループに分かれることに気づきます。①外から送り込まれたものを実行してしまう系（インジェクション）②鍵のかけ方を間違える系（認証・認可）③メモリの扱いを誤る系です。この3つで、実務で見るCWEのほとんどが説明できます。

CWEをどう使えばいいかは、立場によって変わります。当てはまるところだけ読んでください。

今日から使えるチェックリスト