TL; DR
これらは競合するリストではありません。異なる測定単位です。 CWE Top 25は、CVEを生み出し続ける具体的なコーディングミスや設計ミスといった、個々の脆弱性の種類をランク付けしています。一方、OWASP Top 10は、リスクの広範なカテゴリをランク付けしており、それぞれのカテゴリには数十種類の脆弱性が含まれています。どちらが優れているかを問うのは、ミリメートルがメートルより優れているかどうかを問うようなものです。
それらのデータ自体も異なっている。 2025年CWEトップ25は、 CISOWASP Top 10:2025は、2025年12月にMITREと共同で、2024年6月から2025年6月までの39,080件のCVEレコードの背後にある脆弱性を、発生頻度、深刻度、既知の悪用された脆弱性カタログへの出現回数に基づいて加重評価しました。OWASP Top 10:2025は、175,000件以上のCVEに加え、アプリケーションテストデータと実務者調査を活用し、10のカテゴリにわたる248のCWEをマッピングしました。
これらを混同すると、抽象的な概念ではなく、監査においてコストが発生します。 CWEはソフトウェアの特定のセキュリティ脆弱性を特定するため、このファイル、この行、このシンクといった具体的な証拠を提示できます。一方、OWASPカテゴリは欠陥ではなくリスクの種類を記述するものであるため、証拠を提示することはできません。レポートがOWASPカバレッジを謳いながら、各発見事項の背後にCWEを提示しない場合、エンジニアが修正できるものも、監査担当者が検証できるものもありません。
用途に応じて使い分けましょう。 CWE Top 25は、発見レベルのトリアージ、修復、調達に関する質問に、OWASP Top 10は、プログラム設計、脅威モデリング、トレーニングに使用されます。Xygeniで発見されたすべての脆弱性には、コード内の証拠とともにCWEが付与され、脆弱性が発生した環境に対応するOWASPリストにマッピングされます。 Code securityAPIとAIによる調査結果はすべて同じルールに従います。
手短にお答えします。 CWE Top 25は、最も危険なソフトウェアの脆弱性タイプ25種類を毎年ランキングしたもので、 CISAとMITREは、実際のCVEデータと既知のエクスプロイトに基づいてスコアを付けています。OWASP Top 10は、アプリケーションセキュリティリスクの最も広範な10カテゴリをランキングしたもので、それぞれが多数のCWEに対応しています。一方は欠陥名を、もう一方はテーマ名を示しています。
CWEトップ25が実際に測定しているもの
一般的な弱点の列挙 これは、MITREが管理する脆弱性タイプのカタログです。各項目は、製品やベンダーに関係なく、ソフトウェアにおけるセキュリティ上の脆弱性の種類を1つずつ説明しています。例えば、Webページにおける入力の不適切な無効化、バッファの末尾を超えた書き込み、認証チェックの欠如などです。
2025年のCWEトップ25は、 2025年XNUMX月までに CISMITREおよびHSSEDIとの共同研究は、2024年6月から2025年6月の間に公開された39,080件のCVEの根本原因として、それらのタイプがどのくらいの頻度で出現したかに基づいてランク付けし、深刻度と、各脆弱性が既知の悪用された脆弱性カタログに登録されているエントリの数で重み付けしています。
現在のリストのトップは、アプリケーションセキュリティプログラムを運営した経験のある人なら誰も驚かないだろう。
- クロスサイトスクリプティング（CWE-79） 2年連続で首位を維持し、2位以下に大きく差をつけて首位に立った。
- SQLインジェクション（CWE-89） 2位に位置し、あらゆるプラットフォームで依然として悪用されている。
- クロスサイトリクエストフォージェリ（CWE-352） 3番目です
- 認証情報が不足しています（CWE-862） 認可失敗件数の広範な増加の一環として、5ランク上昇して4位となった。
- 境界外書き込み（CWE-787） は5位で、メモリ安全性は、解放後使用や境界外読み取りと並んで依然としてトップ10にしっかりとランクインしている。
- パス・トラバーサル、OSコマンド・インジェクション、コード・インジェクションがトップ10の残りを占める。
注目すべき2つの傾向が挙げられます。認証の脆弱性が増加傾向にあるのは、APIを多用するクラウドネイティブなアーキテクチャにおいて、かつては1箇所で済んでいたチェックが数百箇所に分散している現状を反映しています。また、メモリ安全性の問題も依然として深刻です。2025年のリストには、バッファオーバーフローの脆弱性が3種類も新規または再登場しており、これは現代のシステムが依然として多くのレガシーC言語やC++言語によって支えられていることを示唆しています。
弱点、脆弱性、リスク：３つの異なる概念
2つのリスト間の混乱のほとんどは、専門家が事前に使用する3つの概念を混同していることに起因します。cisエリー。
- A 弱点 これは、よくある間違いの種類です。CWE（共通脆弱性識別子）は、まさにこのような間違いを特定します。ソフトウェアのセキュリティ上の脆弱性はすべて識別子を持ち、それが過去に悪用されたことがあるかどうかは関係ありません。
- A 脆弱性 これは、特定の製品、特定のバージョンにおける、その弱点の一例です。 それがCVEが識別するものですCVEには必ずCWEが関連しており、CWEトップ25はまさにそのようにして構築されています。
- A リスク 攻撃者が何を達成し、それがあなたにどのような損失をもたらすか、それがOWASPが整理するレイヤーです。アクセス制御の不具合は、ファイル内の特定の箇所を指摘できるような欠陥ではありません。これは約40個のCWE（共通脆弱性識別子）を含むカテゴリであり、そのどれもが実際のバグである可能性があります。
この3つの点をきちんと理解すれば、リスト間の関係性が明らかになる。CVEは脆弱性の事例であり、脆弱性はリスクカテゴリに属し、2つのランキングは同じスタックの異なる層を表している。
CWEトップ25とOWASPトップ10を並べて比較
2つのリスト、2つの測定単位
同じ領域でも、高度が異なる。重要な違いは、単位、データ、そしてそれぞれが適している用途にある。
| CWEトップ25 | OWASPトップ10 | |
|---|---|---|
| ユニット | 例えば、CWE-89 SQLインジェクションのような脆弱性の種類 | 1つのリスクカテゴリーに、多くの弱点タイプが含まれている |
| ランク | 25の弱点 | 2025年版では、10のカテゴリに248のCWEがマッピングされている。 |
| その背後にあるデータ | 39,080件のCVE記録（重大度とKEV出現頻度で加重平均） | 17万5000件以上のCVEに加え、アプリケーションテストデータや実務者へのアンケート調査結果も提供 |
| 発行 | CISMITREとHSSEDIとの提携 | OWASP財団はコミュニティ主導の組織です。 |
| ケイデンス | 毎年恒例。2025年のリストは2025年12月に発表された。 | およそ4年ごと。2025年は2021年に続いた。 |
| 対象領域 | すべてのソフトウェア：ウェブ、組み込みシステム、ファームウェア、オペレーティングシステム | WebアプリケーションとAPI、およびその他のインターフェースに関する関連リスト |
| 証拠を運ぶ | はい。CWEはファイル、行、データフローに添付されます。 | いいえ。カテゴリとは、欠陥ではなく、リスクの種類を表すものです。 |
| 最適な用途 | トリアージ、修復、セキュアコーディング standard調達およびベンダーに関する質問 | プログラム設計、脅威モデリング、研修、取締役会および監査との協議 |
チームがこれを間違える３つの理由
- 彼らをライバルとして扱う。 どちらかを選ぶのはカテゴリーエラーです。CWEトップ25は、業界全体でどのタイプの脆弱性が最も大きな損害をもたらしているかを示しています。 OWASPトップ10 プログラムがカバーすべきリスクテーマを示します。成熟したプログラムでは、異なる対象者に向けて、両方のテーマを取り上げています。
- OWASPの保証をクレームとして受け入れる。 「私たちは OWASPトップ10「」は反証不可能である。なぜなら、カテゴリは単なるバケツだからだ。アクセス制御の不具合だけでも約40のCWEに該当するが、市場に出回っているツールで、単一のカテゴリに属するソフトウェアのすべてのセキュリティ脆弱性を検出できるものはない。ベンダーに尋ねるべき重要な質問は、どのCWEを、どの言語で、検出結果ごとにどのような証拠に基づいて検出するかである。この質問には答えがある。もう一方の質問には答えがない。
- 監査証拠を誤ったレイヤーにマッピングしている。 インジェクションリスクが管理されている証拠を求める監査人は、カテゴリ名ではなく、調査結果を必要とします。CWE-89、このファイル、この行、このパラメータ、ペイロードと修正を含む調査結果が証拠となります。 dashboard A05:2025と書かれたタイルはラベルです。
2025年版は注目すべき点で変化した
どちらのリストも最近変動があり、その方向性はどちらも同じである。
認可件数は増加傾向にある。 認証の不備はCWE Top 25で4位に上昇し、アクセス制御の不具合はOWASP Top 10:2025で1位を維持しました。OWASP Top 10:2025では、サーバーサイドのリクエストフォージェリを包含し、APIオブジェクトレベルおよび関数レベルの認証失敗を明示的に対象とするなど、範囲が拡大されています。
サプライチェーンは、最重要リスクの一つとなった。OWASP Top 10:2025では、ソフトウェアサプライチェーンの障害が3位に位置づけられ、従来の脆弱なコンポーネントのカテゴリが、依存関係、ビルドシステム、および配布インフラストラクチャを含むように拡張された。この変更は、過去2年間に実際に起こったことを反映しており、単一のCWEでは適切に表現できない種類のリスクである。
そしてAIは脚注から独自のリストへと移行した。2025年のOWASP版ではAIカテゴリは追加されなかったが、次のステップのセクションで「AI生成コードへの不適切な信頼」という項目が挙げられた。2026年までに、そのギャップは別の場所で埋められた。 OWASP エージェントアプリケーション向けトップ10（2026年版） 自律型ツール使用システム、および OWASP GenAI LLM トップ10 20262026年8月に発行されたこのバージョンは、LLMアプリケーション向けに2025年版に取って代わり、NIST、MITRE ATLAS、CWEへのマッピングを拡張しました。マッピングテーブルを管理している場合は、これら2つのエントリを追加する必要があります。
次に何が起こるか。 CWE Top 25は毎年発行され、年末に公開されるため、2025年版が最新版で、次回版は2026年末頃に公開予定です。OWASP Top 10は、約4年というはるかに長いサイクルで更新されるため、2025年版はしばらくの間、信頼できる情報源となります。この更新頻度の違いこそが、両者を異なる用途で使用する理由です。一方は脅威の状況を年ごとに追跡し、もう一方はプログラムの中期的な方向性を定めるために使用します。このページは2026年9月に最終更新されました。
作業を重複させずに両方を活用するにはどうすればよいでしょうか？
2つのリストをそれぞれの枠内に収めるための5つのルール
これらのリストは相互補完的な関係にある。同じリストを両方の作業に使用した場合にのみ、作業が重複する。
- すべての発見事項についてCWEを要求する 発見事項にCWEが付与されていない場合、カウントしたり、ツール間で比較したり、カテゴリにマッピングしたり、後で誰かが検証したりすることはできません。最低限の要件としてください。 standard 実行するスキャナーごと、ベンダーから受け取るレポートごとに。
- CWE のエンジニアには報告し、OWASP のカテゴリについては取締役会に報告する。 開発者は弱点、ファイル、そして修正方法を必要とします。経営幹部はテーマとトレンドを必要とします。同じデータでも視点が異なり、それらを相互に変換する作業は、二度目のスキャンではなく、レポート作成作業となります。
- CWEトップ25をセキュアコーディングに変換する standards このリストは短く、具体的で、実際の被害状況に基づいて順序付けられているため、コーディング規則、レビューチェックリスト、ソフトウェア購入前にベンダーに質問する際の実際的な基礎となる。
- OWASPは検出のためではなく、設計のために使用してください。 脅威モデリング、アーキテクチャレビュー、トレーニングはカテゴリレベルで行われます。なぜなら、そこで設計がcisイオンは生きている。そのレベルでの検出に関する主張はマーケティングであり、カテゴリ内のすべてのCWEを網羅するツールは存在しない。
- リストの順位ではなく、活用可能性に基づいて優先順位を付ける どちらのランキングも、あなたのアーキテクチャを考慮していません。到達不能なコードパス上の4番目の脆弱性は、規制対象データを保持するインターネット接続エンドポイント上の19番目の脆弱性よりも重要度が低い場合があります。リストは作業範囲の把握に役立て、作業の優先順位はあなた自身の状況に合わせて決定してください。
調査結果におけるその表示例
ザイゲニ 分類を証拠に結びつけるのではなく、 dashboardコード分析の結果には、脆弱性の種類、深刻度、ファイル内の場所、および修復ガイダンスが含まれます。DASTの結果には、攻撃ペイロードと、それを証明した完全なリクエストとレスポンスが追加されます。APIの結果は、OWASP API Security Top 10とCWEにマッピングされるため、レスポンス内の機密データ漏洩には、カテゴリと背後にある具体的な脆弱性の両方が示されます。AIの結果は、LLMアプリケーション向けのOWASP Top 10にマッピングされます。これは、そのサーフェスに対して適切なリストであるためです。
そして、優先順位付けファネルは、ランキングでは不可能な役割を果たします。つまり、アクセス可能で、認証情報なしで活用でき、かつビジネスにとって重要な事柄に関連付けられているものに絞り込むのです。既に所有しているスキャナーから取り込まれた検出結果にも同じ処理が適用されるため、深刻度と証拠に関する単一のモデルが、単一のツールではなくプログラム全体をカバーします。
FAQ
CWE Top 25はOWASP Top 10よりも優れているのか？ どちらが優れているということはありません。一方は、対策を講じるための根拠となる弱点の種類をランク付けし、もう一方は、プログラムを設計する際の基準となるリスクカテゴリーをランク付けします。
CWEトップ25はどのくらいの頻度で変動しますか？ 毎年発行される。2025年版は2025年12月に発行され、2024年6月から2025年6月までに開示されたCVEに基づいて作成されている。
すべてのCVEにはCWEが存在するのか？ 実質的にはそうです。そして、そのマッピングこそがランキングを可能にするのです。CWEは根本原因であり、CVEはインスタンスです。
一つの研究結果が両方のリストに該当することはあり得るだろうか？ はい、そして通常はそうなります。SQLインジェクションはCWE-89に分類され、OWASPのインジェクションカテゴリに属するため、同じ発見が異なる対象者に対して双方向で報告されます。
ソフトウェアにおけるセキュリティ上の脆弱性とは何でしょうか？ 設計、実装、アーキテクチャにおける、悪用可能な脆弱性につながる可能性のあるあらゆる反復的な欠陥（チェックの欠落、サニタイズされていない入力、無制限の書き込みなど）。カタログでは、それらが現在のコードに存在するかどうかにかかわらず、それぞれに識別子が割り当てられます。
監査人はどちらについて質問するのでしょうか？ 彼らは両方について質問するが、証拠として受け入れるのはどちらか一方のみである。カテゴリー名は政策上の問いを満たすものであり、場所を示すCWEレベルの調査結果は対照試験を満たすものである。
今四半期にCWEトップ25を最も早く活用する方法は何ですか？ 上位10項目を取り上げ、現在使用しているツールが実際にどの弱点を検出しているかを確認し、そのギャップをロードマップとして活用してください。
一方は欠陥を指摘し、もう一方はテーマを指摘する
両者の違いを明確に理解するには、CWE Top 25は修正すべき点を示し、OWASP Top 10は議論すべき点を示すという点を明確に理解することが重要です。カテゴリだけで語るプログラムは、監査担当者に対して何も証明できません。CWEだけで語るプログラムは、取締役会に対して自らを説明することもできません。
価値のある発見には、両方と、それを修正できる場所が含まれています。それがどのようなものかは、以下をご覧ください。 ザイゲニ.
