CVSSとは?深刻度スコア(0〜10)の読み方と「9.8」の意味

結論: CVSS(共通脆弱性評価システム)は、脆弱性の深刻度を、0.0〜10.0の点数で表す、世界共通のものさしです。点数が高いほど深刻で、**9.0以上は「Critical(緊急)」に区分されます。ただし、点数は「悪用された場合の、理論上の深刻度」**です。実際に悪用されているかは、別の情報で見る必要があります。

CVSSとは

CVSS(Common Vulnerability Scoring System)は、ソフトウェアの脆弱性が、どのくらい深刻かを、共通の基準で点数にする仕組みです。ニュースで、「CVSSスコアは8.8」「深刻度は9.8」といった表現を見かけます。

脆弱性そのものの基本は、脆弱性とは?で解説しています。

CVSSは、脆弱性に付けられる番号「CVE」とセットで使われます。

点数の区分

点数は、次の5つの区分に分かれます。

ニュースの例

• 7-Zipの、ヒープバッファーオーバーフローの脆弱性は、**CVSS 8.8(High)**と報じられました
• 7-Zipの、XZ形式の処理にある脆弱性(CVE-2026-14266)は、**CVSS 7.0(High)**です

詳しい経緯は、7-Zipがv26.05に更新で解説しています。

点数は、どうやって決まるのか

CVSSの点数は、複数の観点を組み合わせて計算されます。代表的なものを、挙げます。

たとえば、インターネット経由で、ログインも利用者の操作も不要で、情報の漏えい・改ざん・停止のすべてが、重大な場合は、9.8になります。「9.8」が、ニュースでよく見られるのは、条件が、最悪に近いためです。

反対に、パソコンの前でしか使えない、ログインが必要、ファイルを開く操作が必要といった条件がつくと、点数は下がります。

評価の種類:Base・Threat・Environmental

CVSSの点数には、次のような種類があります。

ニュースの点数は、基本評価であることが多く、自分の環境に合わせた評価ではありません。

バージョン:3.1と4.0

CVSSには、バージョンがあります。広く見られるのは、3.x系ですが、4.0も使われ始めています。

• 評価の項目や、考え方が見直されている
• ニュースや各社の情報に、3.xと4.0の点数が混在する場合がある

比較する時は、同じバージョンの点数かどうかを、確認してください。

点数だけで判断してはいけない理由

CVSSは便利ですが、それだけで、優先順位を決めると、見誤ることがあります。

理由① 悪用されているかは、別の話

CVSSは、「もし悪用されたら、どれだけ深刻か」を表します。実際に、すでに悪用されているかは、別の情報で確認する必要があります。

たとえば、2026年10月のWindows Updateでは、深刻度が「重要」とされた脆弱性のうち1件が、すでに悪用が確認されていると報じられました。一方、「緊急(Critical)」と評価された76件は、悪用が確認されたものとは、別の話です。深刻度が高くないから安心、とは言えません。

理由② 自分の環境に関係があるか

点数が高くても、自分が、その機能やソフトを使っていなければ、影響はありません。逆に、点数がそれほど高くなくても、自分が使っていて、外から見える状態なら、優先して対処すべき場合があります。

理由③ 点数は、評価した人によって変わることがある

同じ脆弱性でも、**評価する立場(発見者・開発元・公的機関)**によって、点数が違うことがあります。

あわせて見る情報

点数と合わせて、次の情報も確認すると、判断しやすくなります。

これらは、主に、組織で脆弱性対応をする人向けの情報です。個人の場合は、ニュースで「悪用が確認されている」と書かれた更新を、優先して適用するだけでも、十分に効果があります。修正前に悪用されるものは、ゼロデイ脆弱性とは?で解説しています。

個人ができること

1. 自動更新を、オンにする:OS・ブラウザ・主要なソフト
2. 「悪用が確認されている」更新を、優先する
3. 点数が高いニュースが出た時は、自分が使っているものかを確認する
4. 更新できないソフトを、使い続けない

まとめ

• CVSSは、脆弱性の深刻度を、0.0〜10.0の点数で表す、共通のものさし
• 9.0以上が「Critical(緊急)」。点数は、悪用された場合の理論上の深刻度
• 点数だけでなく、実際に悪用されているか・自分の環境に関係があるかを見る
• 個人は、「悪用が確認されている」更新を、優先する

関連記事:脆弱性とは?、ゼロデイ脆弱性とは?、7-Zipがv26.05に更新