VEX（脆弱性悪用可能性情報） – 業務改善推進プロジェクト

この用語の意味

VEX（Vulnerability Exploitability eXchange／脆弱性悪用可能性情報）とは、公開された脆弱性が特定の製品に影響するかを、供給者などが理由や対応状況とともに伝える情報です。脆弱性の存在と、使用中の製品で実際に影響を受けるかを分けて確認するために使います。

VEXでは、製品ごとの状態を「影響あり」「影響なし」「調査中」「修正済み」などで示します。人が読む説明だけでなく、セキュリティ管理ツールが処理できる機械可読な形式で提供されることがあります。

何ができるか

利用中のソフトウェアに含まれる部品で脆弱性が見つかったとき、すべてを同じ緊急度で扱うのではなく、その製品で該当機能が使われているか、影響を受ける構成か、修正が必要かを確認する材料になります。多数の脆弱性情報を扱う組織では、VEXを資産管理や脆弱性管理の仕組みに取り込み、確認対象の絞り込みや対応順の整理を補助できます。

VEXは脆弱性を発見する検査そのものではありません。ソースコードなどを調べて問題の候補を見つける方法は、AIエージェント型脆弱性検査を参照してください。

実際に使うために必要なもの

利用中の製品名、版、導入している機能や構成、脆弱性を識別するCVE番号、製品供給者が公開したVEXやセキュリティ情報を確認します。VEXを自動処理する場合は、対応形式を読み込める資産管理・脆弱性管理ツールと、結果を確認する情報システムまたはセキュリティ担当者が必要です。

公開資料を手作業で確認するだけなら追加費用がかからない場合もあります。自動収集や資産との照合には、管理製品の契約料、初期設定、製品名・版・構成を整える作業、例外確認、継続的な更新確認にかかる時間を含めて考えます。

開発・規格と使用条件

VEXには複数の実装方法があります。OASISのCSAFでは、VEXを特定製品が脆弱性の影響を受けるか、その理由を示すためのプロファイルとして定めています。CISAもVEXの概要、発行時期、最小要件などの資料を公開しています。Microsoftは2026年9月8日から、Microsoftが割り当てたすべてのCVEについてVEX文書を公開すると発表しました。

利用時は、VEXの形式に加え、対象製品と版、発行者、公開・更新日時、状態の理由、推奨対応が自社環境と一致するかを確認します。詳細はOASISのCSAF Version 2.0、CISAのSBOM Resources Library、Microsoft Security Response Centerの発表で確認できます。情報確認日：2026年9月11日。

小さく試す運用例

まず、社内で利用する製品を一つ選び、製品名、版、CVE番号を記録します。供給者の公式情報から該当するVEXを確認し、状態、理由、更新日時、推奨対応を一覧にします。「影響なし」であっても対象の版と構成が一致するかを担当者が確認し、根拠となるURLと確認日を残します。

同じ作業を数件で試し、確認時間、判断を保留した件数、後から状態が更新された件数を記録します。自動化する場合も、最初は結果を通知・一覧化するところまでに留め、更新の適用や対応不要の確定は人が判断します。

人が確認すること・注意点

VEXの「影響なし」は、発行者が示した対象と条件に基づく評価です。自社固有の構成、後から判明した情報、異なる版まで安全だと保証するものではありません。発行者が信頼できるか、対象製品・版・構成が一致するか、理由と更新日時が明示されているかを確認します。

VEXだけで修正不要と決めず、供給者のセキュリティ情報、実際の利用状況、攻撃で悪用されているか、他の対策があるかも合わせて判断します。優先順位と対応期限は、リスク管理の担当者が決め、判断記録と見直し日を残します。