脆弱性ニュースの読み方
この教材でわかること：脆弱性ニュースに出てくる言葉の意味と、「自分のサイトに関係があるか」を落ち着いて判断するための5つの確認ポイントです。
ニュースによく出てくる言葉
脆弱性（ぜいじゃくせい）
ソフトウェアの、悪用されるおそれのある弱点のことです。見つかると、多くの場合は開発元から修正版（パッチ）が公開されます。
CVE（シーブイイー）番号
「CVE-2024-4577」のように、脆弱性一つひとつにつけられる世界共通の管理番号です。同じ脆弱性について書かれた別々の記事も、この番号で見比べられます。番号に含まれる年は番号が割り当てられた年で、公表された年と一致しないこともあります。
深刻度（CVSS）
脆弱性の深刻さを 0.0〜10.0 の点数で表す、国際的に使われている評価方法です。目安として、9.0 以上は「緊急」、7.0〜8.9 は「重要（高）」、4.0〜6.9 は「警告（中）」、0.1〜3.9 は「注意（低）」と表されます。ただし点数は脆弱性そのものの評価で、あなたのサイトの危険度ではありません。
JVN（ジェイブイエヌ）
JPCERT/CC と IPA が共同で運営している、日本語の脆弱性情報サイトです。国内向けの製品の情報も載っているため、日本語で確認したいときの入り口になります。
悪用が確認されている
実際にその脆弱性を使った攻撃が観測されている、という意味です。米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）は、悪用が確認された脆弱性の一覧（KEV カタログ）を公開しています。この表現がある場合は、対応を急ぐべきサインです。
自分のサイトに関係があるかの判断：5つの確認ポイント
- 製品：自分のサイトは、その製品（例：PHP、WordPress、特定のプラグイン）を使っているか
- バージョン：使っている版が「影響を受けるバージョン」の範囲に入っているか
- 条件：「Windows のサーバーで」「特定の設定のとき」など、成り立つための条件に当てはまるか
- 修正版：修正版はすでに公開されているか。更新すれば解決するのか
- 緊急性：深刻度が高いか、悪用が確認されているか
1〜3のどれか一つでも当てはまらなければ、そのニュースは直接は関係しない可能性が高いです。ただし、使っている技術やバージョンは外からは分からないことが多いので、分からないときは管理会社に確認してもらいましょう。
実際のニュースで練習してみる
HEIMVAIL の解説記事「Windows で動く PHP に、外部から命令を実行されるおそれ（CVE-2024-4577）」を、5つのポイントで読んでみましょう。製品は PHP、条件は「Windows のサーバー」かつ「CGI という方式」、修正版は公開済み、と整理できます。一般的な Linux のレンタルサーバーなら、条件に当てはまらない可能性が高い、という判断になります。
あわてないためのコツ
- 見出しの「緊急」「危険」だけで判断せず、条件まで読む
- 一次情報（開発元の発表、JVN、NVD など）へのリンクがある記事を選ぶ
- 判断に迷ったら、CVE 番号を添えて管理会社に「うちは対象ですか」と聞く
参考にした公開情報
- CVE Program（英語）
- FIRST：CVSS（英語）
- JVN（Japan Vulnerability Notes）
- NVD（米国の脆弱性データベース、英語）
- CISA：Known Exploited Vulnerabilities Catalog（英語）
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。