【サンズトップにじゅうご】

SANS Top 25 とは？

最終更新: 2026年10月8日

💡 危険な弱点の種類を知り、対策の優先順位を考える

危険なソフトウェアの弱点の種類を25件にまとめたリストを指す名称。過去にはCWE/SANS Top 25として公表され、現在はMITREが管理するCWE Top 25として参照する。

📌 このページのポイント

公開記録に基づく弱点の種類のリスト。青・橙・緑の紙は弱点の例で、番号や順位を示さない。Top 25だけで製品の安全性すべては判断できない。

ひよこ

SANS Top 25って何のランキング？

ペンギン先生

危険なソフトウェアの弱点の種類を25件挙げたリストだよ。現在のCWE公式サイトではCWE Top 25として公開されている。SANSだけが現行版を選ぶ、という説明は正確ではないんだ。

ひよこ

どうやって順位を決める？

ペンギン先生

現行版では、公開されたCVEの記録に対応する弱点の出現頻度や重大さを使うよ。集計対象や方法は版による。あらゆるソフトウェアの弱点を、漏れなく直接測ったランキングではないんだ。

ひよこ

どんな種類が載っているの？

ペンギン先生

メモリの範囲外への書き込みや、XSS、SQLインジェクションなどが例だよ。順位は版によって変わるので、「この弱点がいつも1位」とは考えず、参照する版の一覧を見るんだ。

ひよこ

OWASP Top 10とどう違う？

ペンギン先生

CWE Top 25はソフトウェアの弱点の種類を扱い、Webアプリに限定しないよ。OWASP Top 10はWebアプリの重要なセキュリティリスクをまとめた文書で、一つのリスク分類に複数の弱点が含まれることもあるんだ。

ひよこ

開発ではどう使う？

ペンギン先生

レビューや対策の優先順位を考える手がかりにするよ。自分の製品で使う言語や機能、扱うデータも考える。リストの項目だけを確認して、すべての脆弱性がないと判断しないんだ。

まとめ：ざっくりこれだけ覚えればOK！

「SANS Top 25」って出てきたら「危険なソフトウェアの弱点25種類を知るリスト」と思えばだいたいOK！

📖 おまけ：英語の意味

「CWE/SANS Top 25 Most Dangerous Software Weaknesses」＝最も危険なソフトウェアの弱点25種類

💬 CWEの公式アーカイブには2009年・2010年・2011年のCWE/SANS Top 25があるよ。現行の名称はCWE Top 25で、過去の名前で呼ばれたときも版を確認するとよいんだ。

参考資料