Tesuji確認日：2026年10月27日
NVDは、CVEに関連する深刻度、弱点の分類、製品への適用情報、参照先などを拡充するデータベースです。CVE番号から周辺情報を調べる入口として利用できます。NVDのCVEに関する説明
CVSSと自社のリスクを区別する
CVSSは脆弱性の技術的な深刻度を確認するための指標です。それだけで自社の対応順を決めるのではなく、製品を利用しているか、攻撃を受ける経路があるか、業務にどう影響するかを合わせて確認します。
製品への適用情報も、対象を絞るための材料になります。ただしデータベースの記載だけで実際の利用構成を把握できるわけではありません。ベンダーが示す影響条件や修正情報と照らし合わせます。
情報の反映には時間差がある
NVDの情報拡充には、利用できる情報や処理量などによる時間差があります。内容が少ないことや評価が未完了であることを、安全の根拠にはできません。急ぐ問題は、元の告知や攻撃の観測報告も確認します。
社内やTesujiの記事では、参照した時点と元のURLを残す運用を提案します。自動処理を検討するときは公式の開発者向け情報を参照し、APIの仕様や利用条件を確認してから設計します。