アップデート一覧に戻る
New releaseAug 20, 2026

cvelistV5 cve_2026-08-20_0000Z

公式CVEリストのCVE JSON 5形式のCVEキャッシュ

共有

注記 2026-2-17 日付正規化の処理日を追加し、潜在的な不整合に対処する 新しい日付正規化スケジュール: (2/16/26 - 2/28/26)

注記 2026-2-10 レコード日付正規化 deltaLog.json ファイルの変更 deltaLog.json ファイルは通常、CVE レコードの変更履歴をローリングで30日分保持します。ただし、日付正規化プロセス（2/16/26〜2/28/26） の間、deltaLog.json ファイルは一時的に15日分のみ保持します。多数のレコードが変更されるため、これにより deltaLog.json ファイルのサイズを制限できます。このプロセス中は、サイズ制限内に収めるために保持日数をさらに減らす必要があるかどうか、ファイルサイズが監視されます。deltaLog ファイルの完全な履歴は Git 履歴で確認できることに注意してください。日付正規化プロセスが完了すると、ログファイルは再び30日分の履歴を保持するように設定されます。

注記 2025-10-29 2025年10月29日（水）10:30 AM EST 時点の CVE Record Format バージョン 5.2.0 更新。Package URL（PURL）識別子をサポート: この CVE Record Format（バージョン 5.2.0）への更新では、「非破壊的」変更が導入され、以下が含まれます:

  • affected 配列項目で packageURL プロパティを使用した PURL 識別子のサポートを追加
  • affected 配列項目に対して additionaProperites を false に設定
  • 例示レコード（CVE レコード）を更新（PURL の例を含む）
  • 将来の CVE Record Format 更新をより良くサポートするためのドキュメントとインフラストラクチャの改善を追加

詳細は以下を参照:

注記 2024-12-4 CVE REST Services は、2024年12月4日（水）午後4:00 EST に CVE Record Format Schema 5.1.1 を使用するよう更新されました: この更新では、一部の CNA が将来使用したいと思うかもしれない新機能を含む「非破壊的」変更が導入されています（CVE Record Format バージョン 5.1.1 リリースノート を参照）。完全な後方互換性のある更新（つまり、これまでに公開されたすべての CVE レコードがこのスキーマで検証される）であるため、ほとんどのユーザーにはこの変更による運用上の影響はありません。このスキーマは、12月4日以前に公開されたかどうかに関係なく、CVE レコードのデータ形式を定義します。

注記 2024-09-17 CVE リポジトリの過去レコードの修正: 2023年より前に公開され、Reserved/Published/Update 日付が誤っていた CVE レコードが修正されました。この措置により、JSON 5.0 CVE レコード採用の一環として誤った Reserved、Published、Updated 日付が割り当てられていた約27,000件のレコードが修正されました。

注記 2024-07-31 CVE レコードには、CVE Program Container と呼ばれる新しいコンテナが含まれる場合があります: この新しいコンテナは、CVE Program によって追加された情報を提供し、Program が追加した参照を含みます。このリポジトリの利用者は、2つのコンテナを処理する必要がある場合があります。詳細は以下を参照してください。

注記 2024-05-08 5:30pm: CVE REST Services は、2024-05-08 5:30pm EDT に CVE Record Format Schema 5.1 に更新されました。この更新により、このリポジトリ内の CVE レコードは、5.0 または 5.1 形式のレコードのいずれかになります。形式は "dataversion" フィールドに反映されます。CVE レコードを "検証" するこのリポジトリの利用者は、このフィールドに反映されている適切なバージョンのスキーマ（つまり 5.0 または 5.1）を使用してレコードを検証することをお勧めします。新しい形式の展開日（つまり 2024-05-08 5:30pm EDT）に基づいて使用するスキーマを決定すべきではありません。公開日/更新日の値には不整合があるためです。

CVE リスト V5

このリポジトリは公式の CVE リスト です。CVE プログラム によって特定された、または報告されたすべての CVE レコード のカタログです。

このリポジトリは、CVE レコードフォーマット の CVE レコードのダウンロード可能なファイルをホストしています（スキーマ を参照）。これらは公式の CVE Services API を使用して定期的に（約7分ごとに）更新されます。CVE プログラム利用規約 に従って、このリポジトリでホストされているコンテンツを検索、ダウンロード、使用できます。

レガシーフォーマットのダウンロードはサポートされなくなりました — レガシーな CVE コンテンツダウンロード形式（CSV、HTML、XML、CVRF）のサポートはすべて 2024年6月30日に終了しました。2024年の最初の6か月間で段階的に廃止され、今後更新されないこれらのレガシーダウンロード形式は、CVE レコードのダウンロードでサポートされる唯一の方法としてこのリポジトリに置き換えられました。詳細はこちらをご覧ください。

CVE レコードコンテナ

CVE レコードは複数のコンテナで構成される場合があります:

  • CNA コンテナ
  • CVE Program Container
  • オプションの複数の ADP 固有コンテナ

CVE Program Container

2024年7月31日以降に CVE Program によって追加されたすべての参照は、そのレコードの CVE Program Container に保存されます。CNA が提供した参照は引き続き CNA コンテナに保存されます。

CVE Program Container は、CVE レコード内で ADP コンテナ形式 で実装されています。

CVE Program Container に含まれる具体的な JSON/CVE レコードフィールドは次のとおりです:

  • adp:title フィールド: "CVE Program Container"
  • adp:providerMetadata:shortName:"CVE"
  • adp:references フィールド（ここ で説明）

CVE Program Container 内の参照は、CNA コンテナ内の参照と同じ形式を維持します。

CVE Program Container には、x_transferred タグを持つ参照が含まれる場合があります。このタグが付いた参照は、2024年7月31日に CNA コンテナから読み取られたものです。これは、2024年7月31日時点の CNA 参照リストの「状態」を維持するための「1回限り」のコピーです。この日以降に CVE Program が追加した参照には、*x_transfered" タグは付きません。

2024年7月31日以降に作成された新しい CVE レコードの場合、Program が提供する拡張データが追加されなければ、その CVE レコードに関連付けられた CVE Program Container は存在しません。

実装に関する考慮事項:

必要なコンテナの処理: 2024年7月31日以降、CVE リポジトリ内の報告された脆弱性に関するすべての情報を取得するには、ツールベンダーとコミュニティユーザーは、CVE レコードの CNA コンテナと CVE Program Container（存在する場合）を確認する必要があります。Program が必要とするコア情報を取得するには、この2つのコンテナが最小限必要です。他のすべての ADP コンテナは、Program の観点からはオプションのままです。

参照重複の可能性 参照の重複が発生する可能性は、複数の組織が別々の場所で参照を提供していることに起因します。下流のユーザーは、CNA コンテナと CVE Program Container の間で起こり得る参照の重複を解決する適切な方法を判断する必要があります。

CISA-ADP コンテナ

CISA-ADP コンテナは、今後発行される CVE レコードに付加価値情報を提供するために 6月4日に開始され、2024年2月まで遡って適用されました。

CISA ADP は、CVE レコードを充実させるために3つのコンポーネントを提供しています:

  1. ステークホルダー固有の脆弱性カテゴリ化（SSVC）
  2. 既知の悪用された脆弱性（KEV） カタログデータ
  3. "Vulnrichment" 更新（例: 特定の脅威特性を満たす CVE レコード、および CNA が自ら提供しない場合の、欠落している CVSS、CWE、CPE 情報）

提供される情報とその記録形式の完全な説明については、CISA ADP プロセス または CISA Vulnrichment GitHub サイト を参照してください。

CVE リストのダウンロード方法

このリポジトリから CVE レコードをダウンロードするには、主に2つの方法があります:

  1. git クライアント を使用する — これは、ほとんどの開発者が使い慣れたツールを使用して CVE リストを最新に保つ最も速い方法です。詳細については、下記の git セクション を参照してください。
  2. Releases の zip ファイルを使用する。詳細については、下記の Releases セクション を参照してください。

git

git コマンドラインツール または 任意の git UI クライアント を使用すると、CVE リストを最新の状態に保つのが最も簡単です。開始するには、このリポジトリをクローンします: git clone [email protected]:CVEProject/cvelistV5.git。 クローン後は、他の GitHub リポジトリと同様に、いつでも git pull を実行して最新の更新を取得できます。

Releases

このリポジトリには、公式の CVE Services API から生成された現在のすべての CVE レコードのリリースバージョン が含まれています。すべての時刻は 協定世界時（UTC） で表示されています。各リリースには、前回のリリース以降に追加または更新された CVE の説明と、ダウンロードを含む Assets セクションが含まれます。zip ファイルはかなり大きいため、ダウンロードに時間がかかることに注意してください。

  • ベースラインのダウンロードは、毎日深夜0時（午前0時）に発行され、Assets に次のファイル名形式で投稿されます: Year-Month-Day_all_CVEs_at_midnight.zip（例: 2024-04-04_all_CVEs_at_midnight.zip）。このファイルは24時間変更されません。zip ファイルを使用して CVE リストを毎日（またはそれ以下の頻度で）更新する場合、これが最適です。
  • 毎時の更新も Assets に次のファイル名形式で提供されます: Year-Month-Day _delta_CVEs_at_Hour 00Z.zip（例: 2024-04-04_delta_CVEs_at_0100Z.zip）。CVE リストを毎時正確に保つ必要がある場合に便利です。このファイルには、ベースラインの zip ファイル以降の差分のみが含まれていることに注意してください。

cvelistV5 リポジトリの既知の問題

CVE Program は現在、CVE リストのダウンロードに関して以下の問題を認識しています。これらの問題は現在、CVE 自動化ワーキンググループ（AWG） によって対処されています。更新や解決策は、利用可能になり次第ここに記載されます。

  1. 2024年9月17日更新: 2023年より前に公開された一部の CVE レコードで、公開日、予約日、更新日が誤っていました。2024年9月17日時点でこれは修正されています。

  2. 2024年9月17日追加: 2024年5月8日から2024年6月7日までに MITRE CNA-LR によって公開された CVE レコードには、公開日と更新日の不整合があります（約515件のレコードに影響）。
    CVE メトリクス（およびその他の公開/更新データに敏感な分析）のためにこのリポジトリを使用するユーザーは、この問題に注意する必要があります。修正は近日中に行われる予定です。

問題の報告

以下のいずれかを使用してください:

プルリクエストは受け付けていません

このリポジトリには、CVE Program のパートナーによって公開された CVE レコードが含まれています。プルリクエストは受け付けていません。

このリポジトリのクローン

git clone を使用してリポジトリをクローンできます。ただし、プルリクエストは受け付けられません。

ヘルプ

CVE Request Web Forms を使用し、ドロップダウンから「Other」を選択してください。

もっと読む

カテゴリ

脆弱性分析情報収集脅威インテリジェンス論文と研究学習と教育厳選リソース