2025 年 CWE 最も危険なソフトウェア脆弱性 Top 25 レポート

このレポートは、2025 年 CWE 最も危険なソフトウェア脆弱性 Top 25 リストを参照しています。このリストは CWE チームによって公開されたもので、National Vulnerability Database (NVD) の Common Vulnerabilities and Exposures (CVE) レコードの分析に基づき、最も深刻で広く見られる弱点を取り上げています。この情報は、2025 リストの AppScan Enterprise への統合を反映しています。

問題点

2025 CWE Top 25 リストは、頻繁に発見され、深刻な影響を及ぼす可能性のある重大なソフトウェアの弱点を特定します。これらの弱点を理解することは、開発者、テスター、プロジェクトマネージャー、およびセキュリティ専門家が脆弱性を防止するうえで役立ちます。

これらの弱点は、攻撃者にとって発見や悪用が容易であることが多く、システムの侵害、データの窃取、またはアプリケーションの障害につながる可能性があるため、特に危険です。2025 リストを作成するために、CWE チームは NIST National Vulnerability Database (NVD) の 39,080 件の CVE® レコードを分析し、Common Vulnerability Scoring System (CVSS) データを使用して、確認された発生頻度と深刻度に基づいて弱点を順位付けしました。

Table 1. 2025 年 CWE 最も危険なソフトウェア脆弱性 Top 25
ID	名前
CWE-79	Web ページ生成時の入力の不適切な中立化 (「クロスサイト・スクリプティング」)
CWE-89	SQL コマンドで使用される特殊要素の不適切な中立化 (「SQL 注入」)
CWE-352	Cross-Site Request Forgery (クロスサイト要求偽造) (CSRF)
CWE-862	許可の欠落
CWE-787	範囲外の書き込み
CWE-22	制限されたディレクトリーへのパス名の不適切な制限 (「パス・トラバーサル」)
CWE-416	解放後の使用
CWE-125	範囲外の読み取り
CWE-78	OS コマンドで使用される特殊要素の不適切な中立化 (「OS コマンド注入」)
CWE-94	コード生成の不適切な制御（'コードインジェクション'）
CWE-120	入力のサイズを検査せずに行われるバッファー・コピー (「クラシック・バッファー・オーバーフロー」)
CWE-434	危険なタイプのファイルの無制限なアップロード
CWE-476	NULL ポインターの逆参照
CWE-121	スタックベースのバッファオーバーフロー
CWE-502	信頼できないデータの非直列化
CWE-122	ヒープベースのバッファオーバーフロー
CWE-863	不適切な許可
CWE-20	不適切な入力の検証
CWE-284	不適切なアクセス制御
CWE-200	権限のないアクターへの機密情報の漏えい
CWE-306	重大な機能に関する認証の欠落
CWE-918	サーバー・サイド・リクエスト・フォージェリー (SSRF)
CWE-77	コマンドで使用される特殊要素の不適切な中立化 (「コマンド注入」)
CWE-639	ユーザーが制御するキーによる認可バイパス
CWE-770	制限または抑制なしでのリソースの割り振り

2025 年 CWE 最も危険なソフトウェア脆弱性 Top 25 レポート

問題点

関連情報