CVEの仕組み
CVEは「Common Vulnerabilities and Exposures」の略です。米国の非営利組織MITRE（マイター）が始めた仕組みで、現在は「CVEプログラム」として運営されており、脆弱性が確認されると、1件ごとに「CVE-年-連番」の形式の識別番号（CVE ID）が割り当てられます。
たとえるなら、脆弱性に付ける「背番号」のようなものです。同じ脆弱性でも、開発元・セキュリティ企業・報道などで呼び方がばらばらだと、同じものを指しているのか判断できません。共通の番号があれば、誰が書いた情報でも照らし合わせることができます。
番号を割り当てるのは、CVEプログラムから認められた「CNA（CVE採番機関）」と呼ばれる組織で、ソフトウェアの開発元やセキュリティ企業などが務めています。番号の中の「年」は、番号が予約された年や公表された年を表すもので、脆弱性が見つかった年とは限りません。
WordPressサイトでの例
WordPress本体だけでなく、プラグインやテーマの脆弱性にもCVE番号が付けられます。WordPress向けの脆弱性情報を扱うセキュリティ企業の中にはCNAになっているところもあり、プラグインの脆弱性が公表される際には、CVE番号が併記されることがよくあります。
CVEの情報には、主に次のような内容が記載されます。
- 対象：脆弱性があるソフトウェアの名前と、影響を受けるバージョン
- 内容：どのような種類の脆弱性か（SQLインジェクション、クロスサイトスクリプティングなど）
- 参考情報：開発元の発表や、修正版の情報へのリンク
危険度の目安として、CVSS（共通脆弱性評価システム）という0.0〜10.0の点数が併せて示されることも多く、数字が大きいほど深刻とされます。CVSSはCVEとは別の仕組みです。
見つけ方・確認方法
- 使っているプラグインの名前と「CVE」で検索し、脆弱性の発表がないか確認する
- CVEの公式サイト（
cve.org）や、日本語で読める脆弱性情報サイトのJVN（Japan Vulnerability Notes）で、番号や製品名から内容を調べる - 該当するCVEがあった場合は、「影響を受けるバージョン」と、自分のサイトで使っているバージョンを照らし合わせる
CVE番号が付いて公表された脆弱性は、誰でも内容を調べられます。攻撃者も同じ情報を見ているため、該当するプラグインを使っている場合は早めの対応が必要です。
対策
- 該当するプラグインやテーマに修正版（パッチ）が出ていれば、すぐに更新する
- 修正版が出ていない場合は、プラグインを停止・削除するか、代わりのものに乗り換える
- 更新が遅れていた期間に侵入されていないか、見覚えのないファイルやユーザーがないかを確認する
CVEの情報は英語で書かれていることが多く、内容の判断に迷うこともあります。自分のサイトが影響を受けるかわからない場合は、専門業者に相談するのも一つの方法です。
