CVEプログラム停止危機とNVD停滞｜脆弱性情報が分断される時代に防御側が頼る情報源をどう再設計するか

「とりあえずCVE番号で調べればわかる」。脆弱性対応の現場で長く当たり前だったこの前提が、いま静かに揺らいでいます。世界中のセキュリティ担当者が拠り所にしてきた米国のCVE（共通脆弱性識別子）とNVD（米国国立脆弱性データベース）が、相次いで運営や資金の危機に直面し、脆弱性情報そのものが「分断」へと向かっているのです。

2026年6月1日、ScanNetSecurityがこの問題を「脆弱性情報分断の裏側」として報じ、改めて注目が集まりました。これは特定の製品に1件の穴が見つかったという話ではありません。私たちが防御の前提として頼ってきた「情報インフラ」そのものが揺らいでいるという、より根の深い話です。この記事では、攻撃者がこの空白をどう突くのかという視点から状況を整理し、防御側が頼る情報源をどう再設計すべきか、中小企業でも実践できるレベルまで具体的に解説します。脅威を煽るためではなく、依存先を見直して足元を固めるためのものです。

何が起きているのか｜CVEとNVDを襲った二重の危機

まず、何が揺らいでいるのかを整理します。脆弱性情報の世界には、長らく事実上の「世界標準」がありました。それがCVEとNVDです。

・CVE（共通脆弱性識別子）: 個々の脆弱性に「CVE-2026-XXXXX」という世界共通の番号を振る仕組み。米国の非営利団体MITREが運営してきました。
・NVD（米国国立脆弱性データベース）: CVE番号に深刻度スコアや影響範囲などの詳細情報を付け加えて公開するデータベース。米国NISTが運営しています。

この2つに、近年立て続けに問題が起きました。NVDは2024年2月ごろから新しい脆弱性の分析が滞り始め、登録待ちの脆弱性が大量に積み上がりました。さらに2025年4月には、その土台であるCVEプログラムそのものが、運営資金の契約打ち切りによって停止寸前にまで追い込まれます。最終的に短期の資金延長で危機は回避され、長期的な運営を担う「CVEファンデーション」という基金の設立も進みましたが、「いつ止まってもおかしくない」という不安が現場に残りました。

公開講演でこの問題を取り上げたPwCの専門家は、企業の関心がサイバー攻撃そのものから、国家間の対立や政策の不確実性へと移るなかで、その影響がセキュリティの現場にも及んでいると指摘しています。脆弱性情報という、本来は中立であってほしいインフラが、地政学の波に揺さぶられているのです。

時系列で見る「揺らぎ」の流れ

何がいつ起きたのかを整理すると、これが一過性のトラブルではなく、構造的な変化であることが見えてきます。

時期	出来事	防御側への意味
2024年2月ごろ	NVDの脆弱性分析が滞り始める	詳細情報の更新が遅れ、登録待ちが積み上がる
2025年4月	CVEプログラムが資金契約打ち切りで停止寸前に	番号体系の継続性そのものが揺らぐ
2025年4月（直後）	短期の資金延長で危機を回避	当面は継続するが「次がある」不安が残る
その後	長期運営を担うCVEファンデーション設立が進む	体制再構築は進むが完成途上
並行して	EU・中国などが独自データベースを整備	世界標準から地域分断へ

注目したいのは、これらが数年にわたって連鎖している点です。一度きりの障害なら復旧を待てばよいのですが、構造の変化は「待っていても元には戻らない」かもしれません。だからこそ、防御側の側で前提を見直す必要が生じています。

「情報の分断」がなぜ防御の弱点になるのか

NVDの停滞やCVEの危機を受けて、各国・各地域は独自の脆弱性データベースを整え始めました。EUは独自のEUVD（欧州脆弱性データベース）の構築を進め、中国は早くからCNNVD（中国国家脆弱性データベース）を独立して運営しています。一見、選択肢が増えて頼もしく思えるかもしれません。しかし防御側にとって、これは厄介な「分断」を意味します。

1. 情報の鮮度と網羅性に差が出る

これまでは「NVDを見れば一通りわかる」状態でした。それが複数のデータベースに分かれると、ある脆弱性はAのデータベースには詳しく載っているがBには載っていない、という事態が起こります。1か所だけを見ていると、自社に関係する深刻な穴を見落とすリスクが生まれます。

2. 攻撃者は「情報が遅れる隙」を突く

攻撃者の視点に立つと、この分断は大きなチャンスです。脆弱性が公表されてから、それが各データベースに正式に登録され、防御側が気づくまでにはタイムラグがあります。NVDの分析が滞れば、このラグはさらに広がります。攻撃者は脆弱性の公表情報をいち早く掴んで攻撃に転用しますが、防御側は公式データベースへの掲載を待っているうちに対応が後手に回る。情報インフラの停滞は、そのまま「攻撃者に与える猶予」になってしまうのです。

もともと攻撃と防御の間には、情報の速さで非対称があります。攻撃者は1つの脆弱性を見つけて攻撃に仕立てればよいのに対し、防御側は膨大な脆弱性をくまなく把握し続けなければなりません。公式データベースは、この非対称を埋めて防御側を支える「共有の土台」でした。その土台が揺らぐと、非対称はさらに防御側に不利な方向へ傾きます。攻撃者は情報源の停滞を待つ必要すらなく、ただ平常運転で動くだけで相対的に優位になる。これが「情報インフラの揺らぎが防御の弱点になる」ことの本質です。

3. 国際連携が機能しにくくなる

PwCの専門家は、地政学的な背景がサイバーセキュリティのインフラに及ぼす影響として、データベースの分断だけでなく国際捜査協力の困難化なども挙げています。「主権の尊重」といった言葉が、国境を越えた捜査協力を拒む根拠に使われる場面も指摘されています。攻撃者が国をまたいで活動する一方、防御や追跡の連携は分断される。この非対称も、攻撃者を利する構図です。

さらに、企業が対応を迫られるデジタル関連の法令やガイドラインは、わずか数年で大幅に増えたとも指摘されています。情報源が分断されて把握が難しくなる一方、守るべきルールは増え続ける。現場の負担は二重に重くなっているわけです。だからこそ、限られたリソースをどこに集中するかという「優先順位の設計」が、これまで以上に重要になっています。やみくもに全部を追うのではなく、自社にとって本当に重要な情報へ意識的に絞り込む姿勢が求められます。

変化	防御側への影響	攻撃者から見た「うまみ」
NVDの分析停滞	深刻度や影響範囲の情報が遅れる	対応が後手に回る猶予が生まれる
CVE運営の不安定化	番号体系の継続性に不確実性	情報の拠り所が揺らぐ
データベースの地域分断	1か所では網羅できない	見落としが生まれやすい
国際連携の困難化	追跡・捜査協力が滞る	国をまたいだ活動が成立しやすい

防御側が頼る情報源を「再設計」する

では、防御側はどう動けばよいのでしょうか。答えは「NVD一本足から、複数の情報源を組み合わせた体制へ移る」ことです。1つのデータベースに依存していると、それが止まった瞬間に視界がゼロになります。情報源を分散し、それぞれの強みを活かす再設計が要ります。

1. 「悪用されている脆弱性」を最優先で追う

すべての脆弱性に等しく対応しようとすると、情報の遅れにすぐ飲み込まれます。優先順位の軸になるのが「実際に攻撃で悪用されているか」です。米国CISAが公開する「悪用が確認された脆弱性（KEV）カタログ」は、現に攻撃に使われている脆弱性をまとめており、限られた人手で守る組織にとって強力な優先順位付けの材料になります。NVDの分析を待つ前に、まず「今まさに狙われている穴」を塞ぐ。この発想の転換が、情報遅延への有効な防御になります。

毎日のように新しい脆弱性が公表される現在、そのすべてに同じ熱量で対応するのは現実的ではありません。だからこそ「悪用されているもの」という客観的な基準で絞り込む意味は大きいのです。攻撃者が現に使っている穴を先に塞げば、限られた時間と人手を最もリスクの高い場所に集中できます。NVDがすべての脆弱性をスコア付けし終えるのを待つ受け身の姿勢から、悪用状況を起点に動く能動的な姿勢へ。この切り替えは、情報インフラが万全でない時代の防御の基本動作になります。

2. 国内の情報源を組み合わせる

日本にはJPCERT/CCやIPAが運営するJVN（Japan Vulnerability Notes）やJVN iPediaという情報源があります。日本語で、国内で広く使われる製品の情報が得やすいのが利点です。海外データベースとあわせて参照することで、米国の情報インフラが滞っても視界を保ちやすくなります。複数の窓を持つことが、分断時代の基本姿勢です。

3. ベンダーの一次情報を直接押さえる

そもそも脆弱性を最もよく知っているのは、その製品を作っているベンダー自身です。利用している製品の公式セキュリティ情報（アドバイザリ）を直接購読しておけば、第三者データベースへの掲載を待たずに一次情報を得られます。使っている製品が10や20に絞れる組織なら、これは現実的で効果の高い手段です。

ベンダーの一次情報には、CVE番号が振られる前の段階で注意喚起が出ることもあります。公式データベースへの登録は、ベンダー公表から時間を置いて行われる場合があるためです。つまりベンダー情報を直接押さえることは、情報の遅れに対する「先回り」にもなります。製品を絞り込んで一次情報源を固定しておく地道な準備が、いざというとき防御の速さを左右します。

4. 自社の「持ち物リスト」を先に整える

情報をいくら集めても、自社が何を使っているかを把握していなければ照合できません。どのサーバーでどのソフトウェアのどのバージョンが動いているか、という資産の一覧（インベントリ）を持っておくことが、すべての前提になります。近年はSBOM（ソフトウェア部品表、ソフトウェアに含まれる部品の一覧）という仕組みも広がっており、脆弱性情報が来たときに「自社に該当するか」を素早く判断できる体制づくりが重要度を増しています。

クラウド上の資産管理や構成把握については、姉妹サイトクラウドマスターズ.TOKYOでも実務目線で解説しています。Linuxサーバーのパッケージ管理やバージョン把握の基本は、姉妹サイトLinuxMaster.JPでも扱っています。

Before / After｜情報源を再設計すると何が変わるか

NVD一本足の状態と、情報源を分散・再設計した状態を対比してみます。どちらも追加の大きな予算を前提にしていません。

観点	Before（NVD一本足）	After（再設計後）
情報源	NVD（米国）にほぼ依存	KEV・JVN・ベンダー情報を組み合わせ
停滞時の視界	NVDが止まると視界がほぼゼロ	別の窓で視界を保てる
優先順位	深刻度スコア頼みで遅れに弱い	悪用中の脆弱性を最優先で対応
自社との照合	該当判断に時間がかかる	資産一覧で素早く判断
攻撃者から見て	情報遅延の隙を突きやすい	遅延しても気づかれやすい

After欄の鍵は「高価な統合ツールを買う」ことではなく、見る先を分散し、自社に関係する部分へ絞り込む運用の工夫にある点です。だからこそ、限られた予算と人手の組織にも現実的な打ち手になります。

中小企業が今日から始められる現実的な一歩

「複数の情報源を統合管理する」と聞くと大企業の話に思えるかもしれませんが、専任担当がいない組織でも踏み出せる順番があります。

・まず資産を書き出す: 完璧でなくてよいので、守るべきサーバー・ソフトウェア・バージョンを一覧にする。ここが照合の土台になります。
・KEVカタログを定点観測する: 「今攻撃されている脆弱性」に自社の製品が含まれていないかを定期的に確認する。優先順位が一気に明確になります。
・使っている製品のアドバイザリを購読する: 主要な製品のメーカー公式情報を受け取る設定にしておく。一次情報が手元に届きます。
・JVNなど国内情報源をブックマークする: 日本語で確認できる窓口を確保しておく。

大切なのは、最初から完璧な統合監視を目指さないことです。1つの情報源への依存を減らし、窓を2つ3つに増やすだけでも、情報インフラが揺らいだときの耐性は大きく変わります。最初の一歩は資産の書き出しで十分です。守るべき対象がはっきりすれば、どの情報源を優先して見るべきかも自然と定まります。逆に資産が見えていないと、どんなに情報を集めても自社への影響を判断できません。すべての出発点は「自社が何を使っているか」を知ることにある、と覚えておくとよいでしょう。

よくある誤解と注意点

このテーマで陥りやすい誤解を整理します。

・「CVEが止まったらお手上げ」: CVE番号そのものが消えるわけではありません。問題は分析情報の遅れと拠り所の不安定さであり、複数の情報源を持つことで十分に補えます。過度に悲観する必要はありません。
・「海外のデータベースだけ見れば十分」: 分断が進む今、1つの地域のデータベースだけでは網羅性に穴が出ます。国内外を組み合わせる発想が必要です。
・「うちは小さいから関係ない」: むしろ専任担当のいない組織ほど、情報源を1つに絞りがちで、その1つが止まると影響を受けます。だからこそ、軽い分散から始める価値があります。

よくある質問（FAQ）

Q. CVEやNVDはもう使えなくなるのですか?

すぐに使えなくなるわけではありません。短期の資金延長で危機は回避され、長期運営の体制づくりも進んでいます。ただ「いつ止まってもおかしくない」不安と分析の遅れは残っており、1つに依存しない体制が望ましい状況です。

Q. 限られた人手で、どの情報源を最優先で見るべきですか?

まずは「実際に悪用されている脆弱性」をまとめたCISAのKEVカタログです。今まさに攻撃に使われている穴に絞れるため、限られたリソースで最も効果的に守れます。

Q. SBOM（ソフトウェア部品表）は中小企業にも必要ですか?

本格導入は規模次第ですが、考え方は有用です。脆弱性情報が来たときに「自社のどこに影響するか」を素早く判断するには、自社が何を使っているかの一覧が欠かせません。まずは簡易な資産一覧から始めるのが現実的です。

Q. 日本語で確認できる脆弱性情報源はありますか?

JPCERT/CCやIPAが運営するJVN・JVN iPediaがあります。日本語で、国内で広く使われる製品の情報が得やすいのが利点です。海外データベースと併用するとよいでしょう。

Q. 情報源を増やすと、かえって管理が大変になりませんか?

すべてを常時監視しようとすると確かに負担が増えます。だからこそ「悪用されている脆弱性を優先」「使っている製品に絞る」という形で、見る範囲を自社に関係する部分へ絞り込むことが鍵になります。広く浅くではなく、自社に必要な分だけ複数持つ、が現実解です。

Q. なぜ国家間の対立がセキュリティ情報に影響するのですか?

脆弱性データベースの運営資金や国際的な協力は、政治・政策の影響を受けます。資金の打ち切りや、主権を理由とした協力拒否が起きると、本来は中立であるはずの情報インフラや捜査連携が滞ります。その影響が現場の防御にも及ぶ、というのが今回の論点です。

Q. ベンダーのアドバイザリとKEVカタログ、両方見る必要はありますか?

役割が違うので両方あると理想的です。KEVカタログは「世の中で今攻撃されている脆弱性」を広く把握する窓、ベンダーのアドバイザリは「自社が使っている製品の一次情報」を早く得る窓です。前者で全体の危険度を、後者で自社固有のリスクを押さえる、という使い分けが効率的です。

本記事のまとめ

CVEとNVDという、長く防御の前提だった脆弱性情報インフラが揺らいでいます。NVDの分析停滞、CVE運営の不安定化、そして各地域へのデータベース分断。これらは個別の脆弱性以上に根の深い変化であり、攻撃者にとっては情報の遅れや見落としという形で付け入る隙になります。

防御側に求められるのは、特定の情報源への一本足依存から抜け出すことです。実際に悪用されている脆弱性を優先的に追い、国内外の情報源を組み合わせ、ベンダーの一次情報を直接押さえ、そして自社の資産一覧という照合の土台を整える。どれも完璧を目指さず、軽い分散から始められます。情報インフラが揺らぐ時代だからこそ、頼る先を自分で設計し直すことが、確かな防御の第一歩になります。正しく状況を理解して、足元から備えていきましょう。