CVEとは
CVE（Common Vulnerabilities and Exposures）とは、世界中で発見されたプログラムの安全上の欠陥（脆弱性）に対して、一意に割り当てられる世界共通の識別番号です。
異なるセキュリティ企業や開発者が、同じ脆弱性をそれぞれ別の名前で呼んでいると、情報の共有や対策に混乱が生じてしまいます。そこで、国際的な標準ルールとして「CVE-西暦-連番」という一意の番号を割り当てることで、特定の脆弱性を世界中で正しく識別し、情報共有や対策をスムーズに行うことができるようにしています。この番号をもとに調べることで、複数のセキュリティベンダーが提供する対策情報を一発で検索・確認することができます。また、セキュリティ対策製品（ファイアウォールやウイルススキャナーなど）の多くがこのCVE番号をサポートしているため、特定のバグに対する検知ルールが適用されているかを確認する際にも役立ちます。
具体例
【CVEの表記例】
CVE-2026-12345
（2026年に報告された、12345番目の登録脆弱性であることを示します）もう少し詳しく
CVEは、アメリカの非営利団体であるMITRE（マイター）社が管理・運営しており、現在は世界各国の政府機関や主要なITベンダー、セキュリティ組織と連携して番号の発行が行われています。新しく発見された脆弱性にCVE番号が割り当てられると、その脆弱性の説明（どの製品のどのバージョンにどのような問題があるか）と、関連する参照URL（ベンダーのサポートページやアドバイザリ）がCVEリストに登録され、一般に公開されます。これにより、世界中のシステム管理者、開発者、セキュリティベンダーが、同一の言語と識別子で特定のセキュリティ問題を議論し、連携して対策を講じることが可能になります。例えば、複数のサーバーを運用している組織が「当社のWebサーバーは最新の脆弱性CVE-2026-XXXXXの影響を受けるか」を調査する際、ベンダーからの修正プログラムと、自社のセキュリティ監査ソフトの検知対象リストの双方をCVE番号をキーにして照合するだけで、正確な判断が下せます。
試験でのポイント
情報処理技術者試験では、CVEの定義や役割について問う知識問題が中心です。「世界中のプログラムの脆弱性に一意の識別子を付与し、製品間での情報共有を容易にする仕組みはどれか」という形式で、選択肢から「CVE」を選ぶ問題が典型的です。また、CVE番号の付与ルール（西暦が含まれる点など）や、脆弱性の深刻度を示す「CVSS」や脆弱性情報の共有プラットフォームである「JVN」との関係性についても出題されます。特に「CVEは脆弱性を『識別』するための番号であり、危険度を『評価』するものではない（評価するのはCVSS）」という役割の違いを明確にしておくことが、ひっかけ問題を回避する鍵となります。
関連する用語
関連用語としては、CVE番号の管理元である米国非営利団体「MITRE」、脆弱性の深刻度をスコアリングして数値化する基準「CVSS」、また各ソフトウェアの脆弱性対策情報を網羅して公開する日本のデータベース「JVN」などが挙げられます。