「使っている製品に脆弱性が見つかったらしい。でも、自社が対象なのか、今日中に対応すべきなのか分からない」。専任のIT担当者がいない企業では、そんな場面もあるでしょう。
最初に、自社の製品名・バージョンとメーカーの対象一覧を照合します。対象なら、実際の悪用状況と自社の使い方を確認し、更新や一時的な利用制限を進めます。
この記事では、CVE・CVSS・KEVを使いながら、公式ページのどこを見れば判断できるかを説明します。保守会社にそのまま送れる確認文と、対応漏れを防ぐ記録例も用意しました。
確認日：2026年11月2日。画面の項目名や対策情報は更新されるため、作業時にはリンク先の最新情報をご確認ください。
まず、この5つを順番に確認する
- 自社で使っているか：
- 対象になるか：
- 急ぐ必要があるか：
- どう直すか：
- 直ったか：
型番やバージョンが分からない場合は「対象外」ではなく「未確認」です。外部から接続できるVPN装置などで悪用が公表されていたら、確認が取れるまで保守会社への相談を急ぎましょう。
CVE・CVSS・KEVは、役割が違う
脆弱性とは、ソフトウェアや機器にある、攻撃に利用されるおそれのある弱点です。パソコンだけでなく、VPN装置、NAS、サーバー、Webサイトを動かすソフトウェアにも見つかります。
| 名称 | 意味 | 実務での使い方 |
|---|---|---|
| CVE | 脆弱性を特定する共通番号 | 番号をコピーして、メーカー情報や注意喚起を探す |
| CVSS | 脆弱性の深刻度を示す評価 | 影響の大きさや攻撃の条件を知る |
| KEV | CISAが管理する、実際の悪用が確認された脆弱性の一覧 | 対応を急ぐべきか判断する材料にする |
CVEは問題を特定するための番号で、危険度の点数ではありません。問い合わせでも、製品名だけでなくCVE番号を伝えると、どの問題の話か共有しやすくなります。
CVSSは0〜10点で深刻度を示します。一般的な区分は、0.0が「なし」、0.1〜3.9が「低」、4.0〜6.9が「中」、7.0〜8.9が「高」、9.0〜10.0が「緊急（Critical）」です。ただし、よく掲載される基本値は、攻撃される確率を示す数字ではありません。点数を見るときは、v3.1・v4.0などのバージョンと評価元も確認します。［1］
KEVは点数ではなくカタログです。CVE番号、実際の悪用を示す信頼できる証拠、明確な対処方法が掲載条件になっています。攻撃を実証するPoCコードが公開されただけでは、実際の悪用確認とはいえません。［2］
どこを見ればよい？最初に使う公式サイト
すべての脆弱性を毎日読む必要はありません。使っている製品のメーカー通知を受け取り、国内の注意喚起から関連する情報を拾うところから始めます。
| 確認先 | 使う場面 | 見る場所 |
|---|---|---|
| メーカー公式のセキュリティ情報 | 自社が対象か、どう直すかを確定する | 対象製品・バージョン、設定条件、修正版、回避策、更新日 |
| IPA 情報セキュリティ | 重要な注意喚起を知る | 「重要なセキュリティ情報」などの注意喚起 |
| JPCERT/CC 注意喚起 | 悪用状況と推奨対応を確認する | 概要、対象、対策、侵害調査に関する案内 |
| JVN | 日本語で対象と対策を読む | 「影響を受けるシステム」「対策方法」「ベンダ情報」 |
| CISA KEV | CVE番号で悪用確認の有無を調べる | CVE番号、製品名、Required Action、Notes |
2026年11月2日時点では、JVN iPediaとMyJVNに一時停止の案内があり、再開時期は未定です。JVNは通常どおり利用できると案内されています。検索サービスが使えない場合も、メーカー公式、JVN、JPCERT/CCで確認を進められます。［3］
検索するなら「メーカー名 製品名 CVE番号」や「メーカー名 セキュリティ情報」が入口になります。検索結果の要約だけで決めず、公式ページを開いてください。修正ファイルも公式サイトから入手します。
手順1：自社の製品名・バージョンを調べる
「Windowsを使っている」「ルーターはある」だけでは判定できません。まず、外部から接続できる装置、サーバー、各パソコン、委託しているWebサイトについて、次の情報を集めます。
| 対象 | 確認する情報 | 確認場所の例 |
|---|---|---|
| パソコン・アプリ | OSの版・ビルド、アプリのバージョン | 設定のバージョン情報、アプリの「ヘルプ」「バージョン情報」 |
| VPN装置・ルーター・NAS | メーカー、型番、ファームウェアの版 | 管理画面のシステム情報、保守会社の管理資料 |
| サーバー・Webサイト | OS、Webサーバー、PHP、CMS、追加機能などの版 | 管理資料、管理画面、制作・保守会社への照会 |
| クラウドサービス | サービス名、契約窓口、利用者側の対応有無 | 管理者向け通知、公式サポート、契約資料 |
製品一覧には、設置場所、管理担当、保守窓口、外部公開の有無、サポート終了日も添えましょう。専用ツールがなくても、最初は表計算ソフトで構いません。IPAも、利用するIT資産の把握と台帳の更新を脆弱性管理の取り組みとして示しています。［4］
手順2：メーカーの対象一覧と照合する
JVNを開いたら、まず「影響を受けるシステム」を読みます。次に「対策方法」と「ベンダ情報」からメーカーの告知へ進みます。対象製品やバージョン、解決策と回避策は、JVNの項目ごとに整理されています。［5］
同じメーカーでも型番が違えば対象が異なり、同じ製品でも有効にしている機能によって対象が変わります。「VPN機能を使用している場合」「特定のプラグインが有効な場合」などの条件も確認してください。
例えば、公式情報に「2.4.7より前の2.4系が対象、2.4.7で修正」とあれば、利用中の2.4.6は対象です。これは読み方を示す架空の例です。実際には、同じ製品に複数の更新系統がある場合や、提供会社が修正を取り込んだ独自版もあるため、数字の大小だけで判断せず、公式の対象表と照合します。
判断結果は「対象」「対象外」「未確認」の3つに分け、根拠のURLを残します。一覧に見当たらない場合や、製品に組み込まれた部品の影響が分からない場合は、保守会社へ確認しましょう。
手順3：KEVと自社の状況から優先順位を決める
KEVのカタログでCVE番号を検索し、一致する項目を確認します。表示中のページだけを探すブラウザ内検索では見落とす場合があるため、カタログの検索機能を使ってください。見つかったら、メーカー・製品名に加えてRequired Action（必要な対処）とNotes（補足・関連リンク）を読み、メーカーの最新案内へ進みます。
検索できない、ページを開けない場合は「KEV未確認」と記録します。KEVに掲載されていなくても、メーカーやJPCERT/CCが悪用を公表していれば、対応を急ぐ判断材料になります。
掲載されているDue Dateは、米国連邦政府の対象機関向けの期限です。日本企業がその日まで待ってよいという意味ではありません。KEVは自社の優先順位を決める材料として使います。［2］
| 確認できた状況 | 担当者の次の行動 |
|---|---|
| 不正ログイン、不審な管理者、不審ファイルなどがある | 通常の更新作業だけで終わらせず、責任者と保守・調査窓口に直ちに相談 |
| 自社が対象で、KEV掲載または公式の悪用確認がある | 緊急対応として責任者・保守会社へ連絡。公開範囲を確認し、更新・回避策・侵害調査の要否を決める |
| 悪用状況は未確認だが、外部から認証なしで重大な被害につながる | KEV掲載を待たずに優先対応。公式の条件と業務への影響を確認する |
| 対象だが、上記以外 | CVSS、攻撃条件、扱う情報、停止時の影響から担当者と期限を決める |
| 利用状況・バージョンが不明 | 確認担当と回答期限を決める。重要装置なら優先して照会する |
この表は本記事の運用例で、CISAなどが定めた一律の期限ではありません。対応期限は、公式の緊急性、自社への影響、実施可能な回避策を踏まえて決めてください。
「社内専用だから後回し」とも限りません。メールやWeb閲覧で使うアプリは攻撃の入口になり得ますし、侵入後に社内の弱点を使われる可能性もあります。外部公開の有無だけで対応を打ち切らないようにしましょう。
手順4：更新できるなら更新。難しければ暫定対策を決める
更新前に、メーカーが指定する手順、事前条件、設定と必要なデータのバックアップ、再起動や停止時間、失敗時の復旧方法を確認します。保守対象の業務システムは、対応する修正版と互換性を保守会社に確認してください。
すぐ更新できない場合は、メーカーが示す回避策を検討します。対象機能の停止やアクセス制限などが案内されることがあります。ただし、回避策は修正と同じではありません。適用した内容、残る影響、正式更新の期限と担当者を残します。公式の回避策がなく、危険な状態を解消できない場合は、一時停止や利用終了も責任者・保守会社と検討しましょう。
運用担当者だけで判断できない設定変更を進める必要はありません。「分からないため保留」で止めず、誰が判断し、いつまでに回答するかを決めることが大切です。
すでに侵入されている場合、更新だけでは足りない
脆弱性を修正しても、すでに盗まれた認証情報や、設置された不正プログラムまで元に戻るとは限りません。JPCERT/CCの注意喚起でも、更新などの対策と併せて侵害の有無を調査するよう求める例があります。［6］
不審な兆候がある場合は、発見時刻と画面の状況を記録し、責任者・保守会社へ連絡してください。ログの保存や通信の遮断、調査の順序は専門窓口と決めます。独断で初期化やログ削除を行うと、調査に必要な情報を失うおそれがあります。
手順5：「更新したつもり」を防ぐ完了確認
- 対象の端末・装置すべてに対策を実施したか。
- 管理画面や端末上で、修正済みのバージョン・ビルドを確認したか。
- メーカーが求める再起動や追加作業を済ませたか。
- ログイン、VPN接続、ファイル共有など、関係する業務が正常に動くか。
- 侵害調査など、更新以外に必要な作業が残っていないか。
ファイルをダウンロードしただけ、インストールを開始しただけでは完了にしません。クラウドサービスでは、事業者側の対処完了と利用者側の追加作業を別々に確認します。
| 記録項目 | 記入する内容 |
|---|---|
| 対象と根拠 | CVE番号、公式URL、確認日、製品名・型番・現在の版 |
| 判断 | 対象／対象外／未確認、その理由、KEV・悪用状況、外部公開の有無 |
| 対応予定 | 担当者、責任者、期限、更新内容、暫定対策 |
| 完了確認 | 実施日時、更新後の版、動作確認、確認者、残作業 |
「確認中」「暫定対策済み」「更新済み・動作確認待ち」「完了」のように状態を分けると、残作業を引き継ぎやすくなります。
保守会社に送る確認文：この項目を聞けば進められる
件名：［製品名］の脆弱性［CVE番号］に関する対象確認・対応依頼
以下の公式情報について、当社環境への影響と必要な対応をご確認ください。
公式情報：［URL］
利用製品・型番：［名称］
現在のバージョン：［番号／未確認］
外部公開・利用機能：［分かる範囲］①当社が対象か、その根拠
②推奨する修正版と作業手順
③停止・再起動の必要性と業務への影響
④直ちに更新できない場合の公式回避策
⑤悪用・侵害の有無を確認する調査の必要性
⑥対応可能日と、完了後に提示いただける確認結果［日時］までに、対象判定または調査状況をご回答ください。
Webサイトの場合は制作会社、機器なら保守会社、クラウドならサービスのサポート窓口が候補です。委託していても、契約上どこまで対応してもらえるかを確認し、自社側で完了を把握しましょう。
よくある疑問
ウイルス対策ソフトが入っていれば大丈夫？
ウイルス対策ソフトの導入だけで、製品の脆弱性が修正されるわけではありません。検知・防御の対策と、メーカーが提供する更新は、それぞれ必要です。
CVSSが低ければ放置してもよい？
点数だけでは決められません。実際の悪用、攻撃条件、扱う情報、自社の業務への影響も確認します。KEV掲載がないことも、安全の証明にはなりません。
最新バージョンにしたら、すべて解決する？
その更新で対象のCVEが修正されるか確認してください。更新系統や製品構成によって、必要な修正版や追加作業が違うことがあります。
最初から有料の管理ツールが必要？
まずは製品一覧、メーカー通知、対応記録から始められます。端末や拠点が増えて手作業では把握できなくなったら、資産管理や更新管理のツールを検討しましょう。
通知を受け取る人と、未対応を確認する日を決める
運用例として、メーカーやJPCERT/CCの通知は受信日に確認し、通常の情報確認は営業日ごとに行う担当者を決めます。不在時の代行も用意してください。未完了の対応一覧は週1回など定期的に確認し、期限を過ぎたものは責任者へ報告します。緊急の注意喚起は定期確認日を待たずに対応します。
製品の追加・入れ替え時には台帳と通知の登録先も更新します。使わなくなった装置や、サポートが終了した製品を残さないよう、撤去・更新の予定も確認しましょう。
今日の第一歩は、装置と相談先を確認すること
まず、インターネットから接続できる装置と、止まると業務に困るシステムを一覧にしてください。次に、それぞれの型番・バージョン・保守窓口を埋めます。
自社が対象か確認し、悪用状況と業務への影響を見て優先順位を決め、対策後の確認まで残す。この流れを一件ずつ回せるようにすることが、脆弱性対応の出発点です。
