CVE番号と深刻度の読み方｜脆弱性のニュースで見る「修正版」「緊急」の意味

ニュースに「CVE-なんとか」とか「深刻度9.2」とか出てきたんですが、あれは何の数字なんでしょう。10点満点なら9.2は高いほうですよね。たぶん。それに「修正版」と「パッチ」と「緊急メンテナンス」は、全部同じ意味ですか。違うなら、どれを見ればいいんでしょう。あなたは、この3つの違いを人に説明できますか。私は、数字の横に書いてある英語を、まず読めるようになりたいです。

はじめまして、モノサシ屋のみつきです。ネットワークまわりの案内役で、ニュースの数字や公式の発表を、読む順番に並べて比べています。

結論｜見るのは「どの製品か」「修正版はあるか」「悪用の状況」の3つ

最初の一手は、ニュースで見たCVE番号のそばに書かれた「製品名」と「修正版の番号」を読むことです。深刻度の数字は、そのあとで見ます。数字は、脆弱性そのものの重さを表す目盛りで、自分のサイトが危ないかどうかを直接は示さないからです。(出典: FIRST CVSS v4.0 ユーザーガイド)今回のPHP2Shellの例は、PHP2Shellとはにまとめています。

1. 1ニュースのCVE番号と製品名を書き写す
2. 2開発元の修正版の番号を読む
3. 3悪用の記述は、書かれた日時とセットで読む
4. 4深刻度の数字は、目盛りとして見る

CVE番号とは｜脆弱性1件ごとに付く、世界共通の整理番号

CVE番号は、ソフトの弱点（脆弱性）1件ごとに付く識別番号です。IPAは、個別の製品の脆弱性を対象に、米国政府の支援を受けた非営利団体のMITRE社が採番していると説明しています。組織Aの出す対策情報と組織Xの出す対策情報が、同じ脆弱性の話だと分かるようにするための番号です。(出典: IPA 共通脆弱性識別子CVE概説。このIPAのページは2015年7月22日更新の解説で、番号の基本の考え方を読むために使っています)

番号は「CVE-西暦-連番」の形です。割り当ては、セキュリティ専門家で構成されるCVE Editorial Boardが、報告のあった脆弱性を評価して行うと、このIPAのページには書かれています。今回の2件を分けてみると、次のとおりです。

→ 横にスクロールできます

1. 「CVE」は、脆弱性の識別番号の印
2. 「2026」は、西暦の部分
3. 「109618」は、連番の部分
4. 番号のそばの、製品名と修正版の欄を読む

深刻度の見方｜CVSSの数字は0.0から10.0の目盛り

深刻度の数字は、CVSS（共通脆弱性評価システム）という仕組みで付けます。IPAは、ベンダーに依存しない共通の評価方法で、脆弱性の深刻度を同じ基準で数値にして比べられる、と説明しています。(出典: IPA 共通脆弱性評価システムCVSS概説。このIPAのページは旧版のv2を基にした解説で、基本の考え方を読むために使っています)

数字は0から10までで、FIRSTのCVSS v4.0の仕様書は、次の5段階の呼び名を定めています。

→ 横にスクロールできます

(出典: FIRST CVSS v4.0 仕様書)

PHP2Shellの2件は、php.netの予告で、どちらもCVSS v4.0の9.2とされています。上の表では、9.2はCriticalにあたります。php-srcのセキュリティアドバイザリでも、CVE-2026-109618は9.2です。(出典: php.net ニュース（2026年10月20日付）、php-src セキュリティアドバイザリ)「10.0」という数字が出回りましたが、PHP財団は、これは誤った値で、実際は9.2だと説明しています。(出典: PHP財団ブログ（2026年10月21日付）)

FIRSTは、基本スコアは脆弱性そのものの特性を表すもので、攻撃の動向や、使っている環境の事情は含まない、と書いています。単独でリスクを測るために使わず、環境の分析などで補うこと、とも書いています。(出典: FIRST CVSS v4.0 ユーザーガイド)

深刻度のそばには、AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N のような文字列が付くことがあります。CVE-2026-109618の記載は、まさにこの形です。主な略号は、次のように読みます。

→ 横にスクロールできます

(出典: FIRST CVSS v4.0 仕様書、php-src セキュリティアドバイザリ)

「修正版」「パッチ」「緊急メンテナンス」の違い｜誰が何をしたかで分ける

3つの言葉は、誰が何をしたかが違います。今回のお知らせでの使われ方は、次のとおりです。

修正版は、開発元の発表（php.net）で使われている言葉です。php.netは2026年10月21日に、修正版として8.5.12・8.4.27・8.3.36・8.2.35を出しました。(出典: php.net ニュース（2026年10月21日付）)パッチ適用は、今回のConoHa WINGのお知らせで使われている言葉です。ConoHa WINGは、2026年10月22日20時45分時点でサーバーへのセキュリティパッチ適用が完了し、12時から21時の予定だった緊急メンテナンスは20時45分に終了した、と告知しています。(出典: ConoHa WING お知らせ)サーバー会社のお知らせでも、『修正版』『修正の適用』『パッチ』など社ごとに書き方が違うので、契約先のお知らせの言葉のまま読みます。

緊急メンテナンスは、機能を止めて作業する時間の呼び名です。pixivは2026年10月21日19時から23時30分まで緊急メンテナンスを行い、公開前の脆弱性への対応のためにシステムを止めたと告知しています。(出典: pixiv お知らせ)

• 2026年10月21日php.netが修正版を出す。pixivが19時から緊急メンテナンスを行う
• 2026年10月22日ConoHa WINGが、20時45分時点でパッチ適用の完了を告知する

1. 1

   修正版が出たか

   開発元の発表で、番号を読みます。

2. 2

   パッチが当たったか

   契約先のお知らせで、適用完了の言葉と日時を読みます。

3. 3

   自分の作業が要るか

   「お客様で必要な作業はございません」のような文かを読みます。

自分に関係があるかの読み方｜製品名と使っている環境を照らす

ニュースの脆弱性が自分に関係するかは、使っているソフトと、その置き場所で決まります。PHPのように、サーバーの中で動くソフトは、レンタルサーバーならサーバー会社が先に対応することがあります。

悪用の状況は、書かれた日時とセットで読みます。さくらインターネットは、2026年10月22日14時の時点で、同社の調査においてこの脆弱性を悪用した不正アクセスや情報漏えい等の被害は報告されていない、と告知しています。状況は日ごとに更新されるので、いつの時点の記述かを見ます。(出典: さくらインターネット お知らせ)

自分のサイトが今回の件の対象かを確かめる手順は、自分のサイトはPHP2Shellの影響を受ける？に書いています。

情報の確認日: 2026年10月23日

まとめ｜番号は整理番号、深刻度は目盛り、判断は製品名と修正版で

CVE番号は、脆弱性1件ごとの整理番号です。深刻度は0.0から10.0の目盛りで、9.0以上がCriticalです。自分に関係があるかは、製品名と修正版の番号、契約先のお知らせで読みます。