CVSS 10.0とは？EPSS・KEVとの違いと脆弱性対応の優先度

CVSS 10.0は何を意味するのか

CVSSは脆弱性の特徴から技術的な深刻度を表す仕組みです。10.0は尺度の最高値ですが、「必ず侵害される」「自社の損失が最大」「低いスコアなら安全」という意味ではありません。

まずベンダーの公式情報と自社の製品・版・構成を照合します。すでに不審な操作等がある場合は、スコアにかかわらずインシデント担当へ報告してください。本記事は一般的な判断ガイドであり、特定の製品の最新修正版を示す速報ではありません。

作業中なら、CVE初動対応チェックリストで対象資産と判断根拠を記録してください。数値の意味を理解したい場合は、以下の比較と判断例から読めます。

知りたいことから進む：スコアの目安一覧／9.8と10.0・版の違い／判断を記録する例。CVSSは「深刻度」であり、自社の被害確率や対応期限そのものではありません。

• CVSS

  脆弱性の技術的な条件と影響を読む。版とベクトルも確認。

• EPSS・KEV

  予測値と悪用確認を区別する。自社の兆候を優先する。

• 自社の対応

  該当資産、公開範囲、業務、修正・復旧の条件を合わせる。

情シス・開発者が最初に確認すること

• 情シス：対象機器、管理画面の露出、責任者、業務停止時の影響を確認する。
• 開発者：利用する部品・版・機能、配布物と実際の稼働環境を照合する。
• SaaS管理者：ベンダーが行う修正と、利用者側の設定・認証情報の作業を分ける。
• 個人：公式アップデートの提供と適用状況を確認し、不審な通知のリンクから更新しない。

CVSSの読み方：数字だけで判断しない

FIRSTの公式資料に沿って、数値とともに版、評価者、ベクトル、更新日時を記録します。v3.1とv4.0は評価項目が異なるため、ベンダーとNVDの数値が違う場合も、条件と版を確認してください。

指標から確認する例	実務での問い
攻撃経路	ネットワーク、ローカル、物理等の条件が自社で成立するか
必要な権限・利用者の関与	認証や利用者操作が必要か。影響する利用者は誰か
機密性・完全性・可用性への影響	情報、設定、業務継続に何が起き得るか
環境・脅威に関する評価	自社条件や悪用状況を加味しているか

CVSS自体が「何時間以内に更新すべきか」を一律に決めるわけではありません。緊急対応の期限は、公式の指示、適用対象の法令・契約、自社の運用基準を確認して定めます。

CVSSスコアの目安・重大度一覧

次はFIRSTのv4.0仕様の区分です。日本語は説明用の訳であり、組織のチケット優先度や公式の対応期限を示しません。

9.8と10.0の違いは、版とベクトルから読む

同じCriticalでも評価条件が同じとは限りません。まずベクトル先頭の CVSS:3.1 と CVSS:4.0 を見分け、評価者と評価日時を確認します。v4.0のCVSS-B、CVSS-BT、CVSS-BE、CVSS-BTEは、基本評価に脅威・環境の評価を加えたかを区別する表記です。異なる版・評価グループの点数を、そのまま改善率や悪用確率として比較しないでください。

たとえば「ベンダーはv3.1で9.8、別の評価はv4.0で10.0」という情報だけでは、製品の状態が悪化したとは言えません。影響版、前提条件、採点の根拠を元のアドバイザリで確認します。これは読み方の例で、特定CVEの評価ではありません。

自分で確認する場合：サイト内のCVSS v3.1ベーススコア計算機はv3.1専用です。v4.0の値を再現する場合はFIRSTのv4.0計算機を使います。検証のために脆弱性を再現する必要はなく、公式の評価条件を入力して数値とベクトルを照合します。

EPSSとKEVの違い、よくある誤解

EPSSは、公開CVEが今後30日間に実環境で悪用される確率を予測するモデルです。自社が攻撃される確率や被害額ではありません。FIRSTの確率とパーセンタイルは別の値です。

「EPSS 0.1%だから攻撃コードがない」「45%だから大量の被害が報告済み」という推論はできません。値の確認日を残し、ベンダーや自社の観測と合わせて使います。

確率と順位の数値例は読み方を示すための架空値です。FIRSTの表示ガイドも、EPSSスコアは確率で示し、可能ならパーセンタイルを併記するよう推奨しています。

KEVは、CISAが悪用の証拠を確認して登録するカタログです。自社の侵害を示すリストではなく、未掲載が悪用の不存在を保証するわけでもありません。期限は対象を確認し、すべての日本企業に同じ法的期限があるとは説明しません。

制度の説明も確認時点を分けます。CISAは2026年6月10日の公式配信で、従来のBOD 19-02・22-01を調和・改善するBOD 26-04を公表しています。古い解説の期限を自社ルールへそのまま転記せず、最新の適用対象・指示と契約上の義務を確認してください。この記事は特定の期限を日本企業へ一律適用するものではありません。

優先度判断と初動対応

次の表は編集部が整理した確認の順序であり、公式の対応期限・認定基準ではありません。

状況	最初の判断
侵害を疑うログ・操作がある	担当へ直ちに報告し、保全と封じ込めを判断する
該当資産が外部公開され、悪用確認がある	公開範囲の縮小と修正を優先して調整する
重要なデータや管理機能を持つ	内部限定でも影響と到達経路を軽視しない
影響版や構成が不明	「未確認」として責任者・調査期限を決める
更新が難しい	暫定対策、残るリスク、承認者、見直し期限を記録する

公式アドバイザリで影響版・修正版・関連する修正を調べ、変更承認と復旧手段を確保します。更新後は稼働中の版、再起動待ち、サービス、設定、ログを確認します。更新で過去の侵害が消えるわけではないため、兆候があれば調査は別に継続します。

やってはいけないことは、悪用確認のために公開PoCを実行する、低スコアだけで対応を終了する、独断で本番停止・ログ削除する、といった行為です。

判断例：CVSSが高い順に並べるだけでは足りない

以下は編集部が作った架空の2資産で、実在CVEの評価ではありません。

Aの対応を先に調整しても、Bを放置してよいわけではありません。Bが重要データを持つ、内部侵害の兆候がある、影響機能が有効と分かるなど条件が変われば、優先度を再評価します。判断記録には「今ある根拠」「未確認」「判断を変える条件」を一組で残します。

記録と次に読むページ

記録にはCVE、対象資産、根拠URLと確認日時、影響判定、公開範囲、優先度の理由、承認した対策、検証結果、未完了の責任者を残します。詳細な内部構成や認証情報は公開の報告から除外してください。

点数の転記だけで終わらせない記録例

IDと評価条件が混ざっている場合は、CVEとCVSSの違い・版と未採点時の判断で整理できます。CVE番号、CVSSの版・評価元、自社の影響と未確認事項を分けて転記します。

次は編集部の合成例です。「Criticalなので最優先」だけでなく、判断を変える条件を残します。実作業はCVE初動対応チェックリストへ進めてください。

項目	記録例（架空）
数値の出典	ベンダー公式、CVSS v4.0・CVSS-B、確認日時とベクトルを記録
自社条件	対象版は一致。影響機能の稼働と外部到達性は確認中
今の判断	担当者へ構成確認を依頼。安全・対象外とはまだ判断しない
再評価する条件	悪用情報、公開範囲、影響機能、侵害の兆候に変化があった場合
次の担当と期限	資産所有者と確認時刻を明記。対応期限は社内規程等で決める

復習にはKEVとEPSSの違いを使えます。「あとで読む」に保存すれば保存・学習の続きから同じページへ戻れます。社内の資産情報や判断記録をこのサイトへ入力する必要はありません。

脆弱性管理の基礎、初動チェックリスト、パッチ適用後の確認、CVSS計算ツールへ進めます。

公式情報・参考情報

2026年10月25日に上記の仕様・表示方法とCISAの公式配信を再確認しました。最新CVEの一覧や固定的なパッチ期限を提供する記事ではありません。個別案件ではベンダー公式情報とKEVの最新登録を別途照合します。

• FIRST: CVSS v4.0仕様 — 深刻度区分と評価グループの表記。
• FIRST: CVSS v3.1仕様 — v3.1の評価条件。サイト内計算機の対象版。
• FIRST: EPSSの確率とパーセンタイル — 確率・相対順位の違いと表示方法。
• CISA: BOD 26-04公開通知（公式配信、2026年6月10日） — 制度更新の確認。個別CVEの最新登録状況はカタログで別途確認。
• FIRST: CVSSの仕様・ガイド — 深刻度の定義と評価項目。
• FIRST: EPSS — 予測の対象と値の読み方。
• CISA: Known Exploited Vulnerabilities Catalog — 悪用確認と適用対象の説明。

編集上の訂正（2026年10月10日）：旧本文の未確認の件数・固定的な対応期限、EPSSから攻撃コードの有無を断定する説明、探索クエリを削除しました。特定製品の速報ではなく、根拠を確認して対応を決めるガイドへ改訂しています。