はじめに
Splunkの脆弱性情報を確認すると、SVD-2026-0207やCVE-2026-20142のような番号が並んでいます。さらにCVEを検索すると、NVDというWebサイトも見つかります。
初めて見ると、どれも脆弱性に付けられた同じような番号に見えるかもしれません。しかし、SVD、CVE、NVDはそれぞれ役割と管理主体が異なります。
この記事では、Splunkを学び始めた方に向けて、次の内容を説明します。
- SVD、CVE、NVDが何を表しているか
- それぞれを誰が発行・管理しているか
- Splunkの脆弱性情報を確認するとき、どれを見ればよいか
前提知識
特別なセキュリティ知識は必要ありません。Splunkという製品名を知っている程度を想定しています。
最初に結論
3つの違いを先にまとめます。
| 用語 | 何を表すか | 発行・管理主体 |
|---|---|---|
| SVD | Splunkが公開するセキュリティアドバイザリと、そのAdvisory ID | Splunk |
| CVE | 個々の脆弱性を世界共通で識別するIDとレコード | CVE Program。IDの割り当てとレコードの公開はCNAが担当 |
| NVD | CVEを取り込み、分析・補足情報とともに提供する脆弱性データベース | NIST |
短く言えば、次のように整理できます。
SVD：Splunkからのお知らせ
CVE：脆弱性を指し示す共通番号
NVD：CVEを検索・分析するためのデータベース
SVDはSplunkのセキュリティアドバイザリ
SVDは、Splunk Vulnerability Disclosureの略で、Splunk製品の脆弱性情報をまとめた公式情報です。
Splunkは、サポート対象製品の脆弱性やセキュリティ修正をSplunk Security Advisoriesで公開しています。各アドバイザリには、次のようなAdvisory IDが付いています。
SVD-2026-0207
SVDはSplunkが管理する識別子です。CVEのような業界共通の識別子ではありません。
SVDには、主に次の情報がまとめられています。
- 影響を受けるSplunk製品とバージョン
- 修正されたバージョン
- 脆弱性の説明
- 対応方法や回避策
- 関連するCVE ID
- 深刻度やCVSSスコア
CVEは脆弱性を識別する世界共通の番号
CVEは、Common Vulnerabilities and Exposuresの略です。
CVE IDは、公開された個々の脆弱性を共通の名前で識別するために使われます。
CVE-2026-20142
製品ベンダー、セキュリティ研究者、脆弱性管理製品が同じCVE IDを使うことで、「どの脆弱性について話しているのか」を一致させられます。
CVEは誰が管理しているのか
CVEは、CVE Programによって運営される仕組みです。役割は一つの団体に集中していません。
- CVE Board：CVE Programの運営を監督し、戦略的な方針を決める
- CNA（CVE Numbering Authority）：担当範囲の脆弱性へCVE IDを割り当て、CVE Recordを作成・公開する
- MITRE：現在、CVE Programの事務局を担い、運営や基盤を支援する
Splunk製品の脆弱性については、多くの場合 Cisco Systems, Inc.がCNAとしてCVE IDの割り当てとCVE Recordの公開を担っています。例えば、Splunk Enterprise Securityの脆弱性であるCVE-2026-76387では、CNAとしてCisco Systems, Inc.が記載されています。
NVDはCVEを基にした脆弱性データベース
NVDは、National Vulnerability Databaseの略です。米国国立標準技術研究所のNISTが運営しています。
NVDはCVE Recordを取り込み、脆弱性管理に利用しやすい形で公開するデータベースです。NVDの詳細ページもCVE IDで検索します。
https://nvd.nist.gov/vuln/detail/CVE-2026-20142
NVDでは、CVE Recordの情報に加えて、次のような分析・補足情報を確認できます。
- CVSSによる深刻度評価
- CWEによる弱点の分類
- CPEやConfigurationによる影響製品・バージョンの整理
- ベンダーアドバイザリなどの参照情報
NISTはNVDを運営していますが、CVE IDの発行主体ではありません。この点がCVEとNVDを理解するうえで重要です。
SVD、CVE、NVDの関係
3つの関係を概念的に表すと、次のようになります。
これは役割を理解するために単純化した図です。実際には、脆弱性の調整、CVE IDの予約、ベンダーアドバイザリ、CVE Recordの公開が連携して進み、公開の順番や時期が前後する場合があります。
簡単には次の対応だけ押さえておけば十分です。
- SVDを見れば、Splunk製品への影響と対処方法が分かる
- CVE IDを見れば、複数の情報源で同じ脆弱性を追跡できる
- NVDを見れば、CVEに関する分析・補足情報を確認できる
まとめ
- SVDは、Splunkが発行するセキュリティアドバイザリの識別子
- CVEは、個々の脆弱性を世界共通で識別するためのID
- CVE IDの割り当てとCVE Recordの公開は、認定されたCNAが担当する
- MITREは、現在のCVE Program事務局として運営や基盤を支援する
- NVDは、NISTが運営するCVEベースの脆弱性データベース
SVD、CVE、NVDは競合する情報ではなく、それぞれ異なる役割を持つ情報です。3つを分けて理解すると、Splunkの脆弱性情報を追いやすくなります。
参考資料
- Splunk Security Advisories（参照日: 2026-09-01）
- Splunk Security Advisories Frequently Asked Questions（参照日: 2026-09-01）
- CVE Program: Overview（参照日: 2026-09-01）
- CVE Program: Structure（参照日: 2026-09-01）
- CVE Record: CVE-2026-76387（参照日: 2026-09-01）
- National Vulnerability Database（参照日: 2026-09-01）
- NVD: CVE FAQs（参照日: 2026-09-01）