CVSS（Common Vulnerability Scoring System）とは、ソフトウェアの脆弱性がどれだけ深刻かを 0.0〜10.0 の数値で表す評価基準です。ベンダーや製品が違っても同じ物差しで比べられるので、どの脆弱性から直すかを決める材料として使われます。
CVSS とは：スコアの段階と意味
スコアは 4 段階に分かれています。0.1〜3.9 が「低」、4.0〜6.9 が「中」、7.0〜8.9 が「高」、9.0〜10.0 が「緊急（Critical）」です。当サイトでは、GitLab と Cisco ISE で CVSS 10.0 の脆弱性が公表されたことを報じました。どちらも、認証なしで任意のコードやコマンドを実行される恐れがあるものです。10.0 は「ネットワーク越しに、特別な条件なしで、システムを完全に乗っ取られうる」水準にあたります。
使い方：基本評価の項目とベクトル文字列
エンジニアがまず見るのは「基本評価（Base）」です。CVSS v3.1 では次の 8 項目からスコアを計算します。攻撃元（ネットワーク経由かローカルか）、攻撃の複雑さ、必要な権限、ユーザーの操作が要るかどうか、影響範囲（スコープ）、機密性・完全性・可用性への影響です。結果は「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H」のようなベクトル文字列で表され、この例のスコアは 9.8 です。条件が同じでも、影響が脆弱なコンポーネントの外まで及ぶ場合（S:C）は 10.0 になります。
実務では、数字だけでなくベクトルも読むことが大切です。たとえば「AV:N」かつ「PR:N」なら、ネットワーク越しに認証なしで攻撃できます。インターネットに公開している機器なら最優先で対応すべきと判断できます。さらに、攻撃コードが出回っているかなどを反映する評価や、自社環境での重要度を加える環境評価を組み合わせると、自社にとっての優先度に近づけられます。
料金：無料で使える公開仕様
CVSS は製品ではなく公開された仕様なので、使っても料金はかかりません。仕様書と計算ツールは FIRST の Web サイトで公開されています。自分で計算しなくても、米 NIST の脆弱性データベース NVD や日本の JVN が、CVE ごとのスコアを載せています。企画・DX 担当者は、委託先や SaaS 事業者と脆弱性対応の基準を決めるときの共通言語として使えます。たとえば「CVSS 7.0 以上は何日以内に修正するか」を契約や運用ルールで取り決める、といった使い方です。
誰が作っているか、競合・補完する指標
仕様を管理しているのは、各国のセキュリティ対応チームが参加する非営利団体 FIRST（Forum of Incident Response and Security Teams）です。仕様は v2、v3.0、v3.1 と改訂され、2023 年に v4.0 が公開されました。v4.0 では評価の区分が「基本・脅威・環境・補足」に整理されています。現場では今も v3.1 のスコアが広く使われているため、どの版のスコアなのかを確かめる必要があります。
CVSS が示すのは「どれだけ深刻か」で、「実際に攻撃されるか」は示しません。そこを補う指標が 3 つあります。悪用される確率を予測する EPSS（これも FIRST が管理）、実際に悪用が確認された脆弱性を集めた米 CISA の KEV カタログ、判断の分岐に沿って対応を決める SSVC です。Cisco ISE の件のように「CVSS 10.0 で、しかも悪用が確認済み」なら、何より先に修正すべき脆弱性だと判断できます。
