[論文レビュー] The Baby Steps of the European Union Vulnerability Database: An Empirical Inquiry

Jukka Ruohonen|arXiv (Cornell University)|Feb 15, 2026

Information and Cyber Security被引用数 0

ひとこと要約

この論文はEU Vulnerability Database (EUVD)を実証的に分析し、積極的に悪用されている脆弱性、EPSSスコア、欧州CSIRT/ENISAの協調を軸に、初期ガバナンスの影響とデータ品質を評価します。

ABSTRACT

A new European Union Vulnerability Database (EUVD) was introduced via a legislative act in 2022. The paper examines empirically the meta-data content of the new EUVD. According to the results, actively exploited vulnerabilities archived to the EUVD have been rather severe, having had also high exploitation prediction scores. In both respects they have also surpassed vulnerabilities coordinated by European public authorities. Regarding the European authorities, the Spanish public authority has been particularly active. With the exceptions of Finland, Poland, and Slovakia, other authorities have not engaged thus far. Also the involvement of the European Union's own cyber security agency has been limited. These points notwithstanding, European coordination and archiving to the EUVD exhibit a strong growth trend. With these results, the paper makes an empirical contribution to the ongoing work for better understanding European cyber security governance and practice.

研究の動機と目的

• EUVDにアーカイブされた積極的に悪用されている脆弱性がどれほど重大かを評価する。
• EUVD AEVのEPSSスコアが悪用リスクを反映しているかを評価する。
• EUVDに脆弱性を協調している欧州の当局（CSIRT/ENISA）を検証する。
• 協調パターンがAEVとCSIRT/ENISA協調脆弱性の間で異なるかを調べる。

提案手法

• 2026年12月15日時点のEUVDデータをAEVとENISA/CSIRT協調脆弱性に焦点を当てて使用する。
• 必要に応じてCVSS v3.0をv3.1に変換し、RQ分析からCVSS v2.0の脆弱性を除外する。
• 重大性（CVSS）、EPSSスコア、クロス指標の相関の分布を分析する。
• AEVとENISA/CSIRT協調脆弱性を比較して相対的な重大性とEPSSスコアを評価する。
• 欧州当局の活動パターン（例：INCIBE、CERT.PL、NCSC-FI、SK-CERT）とベンダー割当ソースを特定する。

実験結果

リサーチクエスチョン

• RQ1 RQ1: EUVDにアーカイブされた積極的に悪用された脆弱性はどれほど重大だったか。
• RQ2 RQ2: EUVDにアーカイブされたAEVのEPSSスコアはどの程度だったか。
• RQ3 RQ3: EUVDにアーカイブされた脆弱性の協調に実際に関与してきた欧州の権威あるCSIRTはどれで、ENISAの関与度はどの程度か。
• RQ4 RQ4: 欧州CSIRTネットワークとENISAを通じて協調された脆弱性はどれほど重大で、EPSSスコアはどの程度か、これらはRQ1およびRQ2と異なるか。

主な発見

• EUVDにアーカイブされたAEVは一般的に重大で、中央値は8を大きく上回る。
• AEVはENISA/CSIRT協調脆弱性よりEPSSスコアが平均的に高い。
• EUVDエントリにはCVSSとEPSSスコアの正の相関が存在する。
• スペインのINCIBEはCSIRTネットワークで協調された脆弱性の割り当てに特に活発である。
• ENISAがEUVD脆弱性の協調に直接関与する程度は限定的（エントリの約2.1%）である。
• ベンダー、特にMicrosoftが主にAEVの割り当てに寄与しており、Apple、Cisco、Adobeは比較的低い程度である。