CWE（共通脆弱性タイプ一覧）とは何ですか？

ソフトウェアの脆弱性の種類を体系的に分類・整理した一覧。開発者がセキュリティの弱点を理解・防止するための辞書。

CWE（共通脆弱性タイプ一覧）のポイントは？

Common Weakness Enumerationの略。MITRE社が管理する脆弱性分類体系。CVEが「個別の脆弱性」、CWEが「脆弱性の種類」。CWE Top 25で最も危険な脆弱性タイプがランキングされる

【しーだぶりゅーいー】

💡 脆弱性の「種類カタログ」

📌 このページのポイント

CWE分類ツリーのイメージ

ひよこ

CVEとの違いがわからない…

ペンギン先生

CVEは「Log4j 2.xのJNDIインジェクション（CVE-2021-44228）」のような個別の脆弱性に番号をつける。CWEは「インジェクション（CWE-74）」のような脆弱性の種類を分類する。CVEが「事件番号」、CWEが「事件の手口の分類」だね

ひよこ

CWE Top 25って何？

ペンギン先生

毎年発表される「最も危険な脆弱性タイプ25」のリストだよ。2024年版の上位はCWE-79（クロスサイトスクリプティング）、CWE-787（境界外書き込み）、CWE-89（SQLインジェクション）など。開発者はこのリストの脆弱性を自分のコードに作り込まないよう注意すべきだね

ひよこ

開発者はどう活用すべき？

ペンギン先生

コードレビューやセキュリティテストのチェックリストとして使えるよ。「CWE-89（SQLインジェクション）対策のプリペアドステートメントは使っているか？」「CWE-79（XSS）対策の出力エスケープは実装しているか？」のように、CWE番号で具体的にチェックできるんだ

ひよこ

OWASPとの関係は？

ペンギン先生

OWASP Top 10（Webアプリの脆弱性ランキング）の各項目はCWEにマッピングされているよ。OWASPがWebアプリに特化した「脅威のトップ10」なら、CWEはより広範な「脆弱性の辞書」。両方を理解するとセキュアな開発の知識が体系的に身につくよ

まとめ：ざっくりこれだけ覚えればOK！

「CWE」って出てきたら「脆弱性の種類を分類したカタログ」と思えればだいたいOK！

📖 おまけ：英語の意味

「Common Weakness Enumeration」＝共通脆弱性タイプ一覧

💬 CVEが「犯罪事件の個別番号」なら、CWEは「犯罪の種類（窃盗、詐欺…）」の分類だよ