CVEとは？脆弱性が年間約4.8万件に急増する時代の、中小企業のための脆弱性管理入門

CVE（Common Vulnerabilities and Exposures）とは、ソフトウェアや機器に見つかった脆弱性（セキュリティ上の弱点）に付けられる、世界共通の識別番号です。「CVE-2025-32711」のように、年と通し番号で表されます。

このCVEの公開件数が急増しています。各種の集計によると、2025年に公開されたCVEは約4万8千件で、2024年（約4万件）から大きく増え、過去最多を更新しました。AIを使った脆弱性の発見が増えていることも、増加の一因と報じられています。すべての脆弱性に対応するのは現実的ではありません。この記事では、CVEの基本と、中小企業でも回せる脆弱性管理の進め方を解説します。

まず押さえたい基本用語

なぜ脆弱性は急増しているのか

一方で、公開される件数が増えても、実際に攻撃に悪用される脆弱性はその一部だという指摘もあります。だからこそ、「どれから対応するか」を決める優先順位づけが重要になります。

あわせて読みたい脆弱性診断とは？種類・選び方・頻度を「攻撃者の時間軸」で考える実務ガイド

優先順位のつけ方

すべての脆弱性に同じように対応するのではなく、次の観点で優先順位をつけます。

特に注意したい「インターネットに面した機器」

VPN機器、リモートデスクトップ、Webサーバー、ファイアウォールなど、インターネットから直接アクセスできる機器やサービスの脆弱性は、攻撃者が最初に狙う入り口になりやすい部分です。ランサムウェアの被害でも、こうした機器の脆弱性が侵入口になる例が多く報告されています。

中小企業でも回せる脆弱性管理の5ステップ

ステップ1：IT資産を一覧にする

自社で使っているパソコン、サーバー、ネットワーク機器、クラウドサービス、主要なソフトウェアを一覧にします。何を使っているかわからなければ、どの脆弱性が関係するかもわかりません。

ステップ2：脆弱性情報を受け取る仕組みをつくる

• 使っている製品のベンダーのセキュリティ情報（メール配信など）に登録する
• JVNやIPAの注意喚起を定期的に確認する
• 保守を委託している場合は、脆弱性情報の連絡を契約に含める

ステップ3：優先順位をつけて対応する

上の表の観点で優先度を決め、最優先のものはすぐに更新します。すぐに更新できない場合は、ベンダーが示す回避策（機能の無効化、アクセス制限など）を実施します。

ステップ4：更新を「仕組み」にする

• OSやブラウザは自動更新を有効にする
• 機器の更新は、月1回など定期のタイミングを決める
• サポートが終了した製品は、計画的に入れ替える

ステップ5：指摘や警告を経営に上げる

脆弱性診断や取引先、セキュリティ企業から指摘を受けたときに、対応状況を経営層まで報告するルールを決めます。

外部サービスやAIツールの脆弱性にも注意

脆弱性は、自社で管理するサーバーや機器だけでなく、利用しているクラウドサービスやAIツールにも見つかります。2025年には、Microsoft 365 Copilotの脆弱性「EchoLeak」（CVE-2025-32711）が公表されました（生成AIの情報漏えいリスク）。クラウドサービスの多くは提供元が修正しますが、利用者側でも次の点を確認しましょう。

• 利用しているサービスのセキュリティ情報・お知らせを確認できる状態にする
• 管理画面のアカウントに多要素認証を設定する
• 連携しているアプリやAIツールの権限を定期的に見直す

よくある質問

まとめ

• CVEは脆弱性の世界共通の識別番号で、2025年は約4万8千件と過去最多
• すべてに対応するのではなく、「悪用されているか」「インターネットに面しているか」「深刻度」で優先順位をつける
• IT資産の一覧、情報の受け取り、更新の仕組み化、経営への報告を回す
• 指摘を受けた脆弱性を放置しないことが、重大な事故を防ぐ鍵

自社のIT資産やクラウドの使い方を見直したい場合は、無料相談でご相談ください。

参考資料

• 熊本日日新聞（共同通信）ITシステムの弱点、発見が急増 全世界、AI普及で2・4倍に
• Computer Weekly: CVE volumes head towards 50,000 in 2025
• JVN（Japan Vulnerability Notes）
• CISA Known Exploited Vulnerabilities Catalog
• CVE Program
• @IT「ネットのセキュリティもGMO」の実態——GMO記者会見を読む（2026年11月3日）