ENISAが提供する脆弱性データベースEUVDについての紹介

近年、EUではサイバー攻撃の高度化・巧妙化を受けて、サイバーセキュリティに関する規制強化が進められています。こうした動きの中心となっているのがENISA（European Network and Information Security Agency）です。ENISAは、EU全体のサイバーセキュリティ政策や標準の策定、加盟国への支援など、幅広い役割を担う専門機関です。

こうした背景から、EUではNIS指令（Network and Information Security Directive）や、その改訂版であるNIS2指令、さらにCRA法案（Cyber Resilience Act）といったサイバーセキュリティ関連の新たな法規制が導入されています。これにより、重要インフラ事業者や多くの企業に対し、脆弱性管理や情報共有の実施が法的要件として求められるようになりました。
こうした状況を踏まえ、ENISAはEU内の法規制および利用者ニーズに適した公式脆弱性データベースとして、2025年5月にEUVD （European Union Vulnerability Database）[1]をリリースしました。さまざまな関係者やEU加盟国のCSIRTやCERT-EUに活用されています。[2]

EUVDの特徴

EUVDは、EU域内におけるサイバーセキュリティの強化を目的として、さまざまな情報源から脆弱性を集約し、独自の分析や多様な機能を提供する脆弱性データベースです。本章では、EUVDがどのような情報源をもとに脆弱性を収集・管理しているかに加え、独自のID付与やEPSSとの連携、ユーザーの利便性を高めるダッシュボードやAPI機能など、EUVDの主な特徴についてみていきます。

EUVDの情報源

EUVDの情報源が何かということについて、EUVDのFAQには以下のように記載されています。[3]
“Contrary to other vulnerability databases, the EUVD comes with a holistic approach and aims for ensuring a high level of interconnection of information sources. It does so by leveraging the open-source software Vulnerability-Lookup which enables a quick correlation of vulnerabilities from multiple known sources.”

他の脆弱性データベースとは異なり、EUVDは包括的なアプローチを採用しており、情報源同士の深い相互接続性を確保することを目指しています。そのため、オープンソースソフトウェアであるVulnerability-Lookupを活用し、複数の既知の情報源からの脆弱性情報を素早く関連付けることを可能としています。（筆者訳）

EUVDはVulnerability-Lookupというオープンソースソフトウェアを活用することで、複数の情報源から効率的に情報を収集していることがわかります。[4]
さらにGitHub上でVulnerability-Lookupの Sources and Feeders を確認すると、以下の通り複数の情報源から情報を収集していることがわかります。

CISA Known exploited vulnerability DB (via HTTP).
NIST NVD CVE importer (via API 2.0), Fraunhofer FKIE NVD.
CVEProject - cvelist (via git submodule repository).
Cloud Security Alliance - GSD-Database (via git submodule repository).
GitHub Advisory Database (via git submodule repository).
PySec Advisory Database (via git submodule repository).
OpenSSF Malicious Packages (via git submodule repository)
Additional sources via CSAF including CERT-Bund, CISA, Cisco, nozominetworks, Open-Xchange, Red Hat, Sick, Siemens, NCSC-NL, Microsoft.
VARIoT IoT vulnerabilities database.
JVN iPedia, Japan database of vulnerability countermeasure information.
Tailscale security bulletins.
CWE (Common Weakness Enumeration) and CAPEC (Common Attack Pattern Enumeration and Classification)

独自のIDを付与

EUVDでは、各脆弱性情報に対してEUVD独自のEUVD IDが付与されます。これは、CVEやその他の脆弱性データベースが個別のIDを利用している現状に対応し、EUVD内で一意に脆弱性を参照・管理できるようにするためです。脆弱性情報ごとに可能な限り CVE ID や他の脆弱性 ID も併記し、データベース間のクロスリファレンスを容易にしています。これにより、EUVD 独自の分析内容や付加情報の一元管理・検索、および他データベースとの情報照合が可能となっています。

EPSSを提供

EUVDの脆弱性詳細ページでは、EPSS（Exploit Prediction Scoring System）の情報もあわせて提供している点が特徴です。EPSSは、FIRST（Forum of Incident Response and Security Teams）が提供している「各脆弱性が今後30日以内に悪用される確率」を示す指標[[5]であり、EUVDはこのEPSSスコアを集約して掲載することで、利用者がリスクの評価や優先順位付けをより効果的に行えるよう支援しています。

3種類のダッシュボード

EUVDのホーム画面では次の3種類のダッシュボードが用意されています。
これらのダッシュボードを活用することで、利用者はさまざまな観点からリスクを把握し、的確な対応や組織のセキュリティ対策計画を立てることができます。

Critical vulnerabilities
CVSS（共通脆弱性評価システム）のスコアが9以上と評価された、極めて深刻な脆弱性を掲載しています。このダッシュボードを利用することで、重大な被害につながる高リスクな脆弱性を早期に把握でき、優先的な対応やパッチ適用を検討する際に役立ちます。
Exploited vulnerabilities
実際に攻撃者によって悪用された、あるいは現在も積極的に悪用されている脆弱性が掲載されています。実被害が発生している、または差し迫った危険性のある脆弱性を特定でき、迅速な対応による被害拡大の防止やインシデントの未然防止に活用できます。
EU CSIRT coordinated vulnerabilities
EU内の複数のCSIRT（Computer Security Incident Response Team）が連携して対応・調整している脆弱性の情報が掲載されています。このダッシュボードを活用することで、EU域内で広範囲に影響を及ぼすリスクや情報共有の状況を把握でき、社会的インパクトの大きな事案への対策や計画立案の参考になります。

APIを提供

EUVDが提供しているAPIの機能を大きく3種類に分類して説明します。

最新の脆弱性の取得
/api/lastvulnerabilities、/api/exploitedvulnerabilities、/api/criticalvulnerabilities などのエンドポイントを利用することで、それぞれ最新の脆弱性、悪用が報告されている脆弱性、クリティカル（CVSSスコア9以上）な脆弱性を、最大8件まで取得することができます。いずれのエンドポイントも認証や特別なヘッダーが不要で、シンプルなGETリクエストを送るだけで最新データを取得できる点が特徴です。
条件を指定した高度な検索
/api/search エンドポイントを使用することで、CVSSスコアやEPSSスコア、公開日、製品名、ベンダー名、さらに悪用状況など、さまざまなパラメータを指定して脆弱性を柔軟に絞り込むことができます。検索結果は1回のリクエストで最大100件まで取得可能です。たとえば「CVSSスコアが7.5以上」「2024年1月以降」「Microsoftの製品のみ」など、詳細な条件指定にも対応しており、自社のニーズに合わせた情報収集が効率的に行えます。
個別データの取得
/api/enisaid および /api/advisory エンドポイントを利用することで、個別のEUVD IDやアドバイザリIDを指定して、該当する脆弱性やアドバイザリの詳細情報を取得することができます。パラメータとしてIDを指定してリクエストを送るだけで、必要な脆弱性を迅速に確認できるため、特定の事例調査やインシデント対応時の情報確認にも非常に有用です。

EUVDと他脆弱性情報源との比較

この章では以下の2つについて考察してみます。

NIST NVD CVE importer (via API 2.0), Fraunhofer FKIE NVD.
CISA Known exploited vulnerability DB (via HTTP).

1つ目は NVD（National Vulnerability Database）[6]であり、2つ目は KEVカタログ（Known Exploited Vulnerabilities Catalog）[7]です。EUVDは情報源としてこれら2つも収集対象に含められているようです。ここでは実際にどの程度差分があるのかを把握するために、EUVDと他の主要な脆弱性情報源であるNVDおよびKEVカタログとの比較を行ってみます。EUVDとそれぞれの情報源が提供する情報との差分について筆者が調査した結果を記載します。本結果は2025/07/23時点のものです。

（1）EUVDとNVDの脆弱性数の比較
【脆弱性総数の比較】
まず初めに、各データベースに登録されている脆弱性総数を比較してみます。
各データベースのUI上で確認したところ、EUVDの総数は272,855件（27,285ページ×10件＋5件）、NVDの総数は287,267件であり、EUVDの方が14,412件少ない結果となりました。
EUVDの情報源としてNVDがありますが、少なくともNVDのすべての脆弱性を取得しているわけではないことがわかります。

【1週間分の脆弱性数の比較】
次に2025/07/13~2025/7/19の期間に区切ってEUVDとNVDから取得した脆弱性の差分を詳しく見ていきます。
各データベースで提供されているAPIを利用して情報を取得します。

表1：EUVDから期間を指定して脆弱性を取得するクエリ

https://euvdservices.enisa.europa.eu/api/search?fromDate=2025-07-13&toDate=2025-07-19&size100&page=n

※ EUVDでは一度に取得できる脆弱性数の上限があるためsizeとpage（nは繰り返しの意味）のパラメータを利用して繰り返し取得しています。

表2：NVDから期間を指定して脆弱性を取得するクエリ

https://services.nvd.nist.gov/rest/json/cves/2.0/?pubStartDate=2025-07-13T00:00:00.000Z&pubEndDate=2025-07-19T23:59:59.999Z

EUVDの取得結果は716件、NVDでは772件であり、EUVDの方が56件少ない結果となりました。EUVDのAPIで取得できなかった脆弱性をNVD上で確認するとステータスがREJECTED（取り消されたもの）もしくはAWATING ANALYSIS（分析中のもの）となっています。

（2）EUVDとKEVカタログの悪用実績の比較
ここではEUVDで悪用実績ありと判断されている脆弱性とKEVカタログに掲載されている脆弱性を比較します。
EUVDはAPIから取得、KEVカタログはWEBから取得します。

表3：EUVDで悪用実績ありと判断されている脆弱性を取得したクエリ

https://euvdservices.enisa.europa.eu/api/search?fromEpss=0&toEpss=100&exploited=true&size100&page=n

※ EUVDでは一度に取得できる脆弱性数の上限があるためsizeとpage（nは繰り返しの意味）のパラメータを利用して繰り返し取得しています。

EUVDの取得結果は1,314件、KEVカタログでは1,388件の脆弱性を取得することができました。このうちEUVDでのみ取得できた脆弱性は1件、KEVカタログでのみ取得できた脆弱性は75件ありました。

まず、EUVDでのみ取得できた脆弱性についてみてみます。
このような脆弱性は1件（CVE-2025-4664）あり、その脆弱性をEUVDの上で確認したところ、2025/05/15にKEVカタログに追加されたという記載を確認できました。なお2025/07/23に取得したKEVカタログからはCVE-2025-4664は削除されていました。

次に、KEVカタログでのみ取得できた脆弱性についてみてみます。
このような脆弱性は75件ありました。そのうち1件をEUVDのUI上で確認してみました。EUVDのAPIでは悪用実績ありの脆弱性として取得できなかったものの、UI上ではKEVカタログに掲載された情報だということがわかります。ただしCVSSなどの値は欠落していました。

まとめ

本記事では、ENISAが提供するEUVDについて、その概要や特徴、NVDやKEVカタログとの比較を紹介しました。
EUVDは様々な国内外の情報源から脆弱性を収集し、独自のIDやEPSSの提供、3種類ダッシュボードやAPIなど、利用者の視点を意識した機能が特徴です。一方で、NVDやKEVカタログと全く同じ情報がすべて登録されているわけではなく、差異があることも確認できました。
今後もEUVDの機能向上や脆弱性情報の網羅性などに注目し、他の脆弱性データベースとの比較を続けていきたいと思います。