共通弱点タイプ一覧 (きょうつうぜいじゃくせいタイプいちらん、英語: Common Weakness Enumeration、略:CWE) は、ハードウェアおよびソフトウェアの弱点と脆弱性のカテゴリシステムである。ソフトウェアやハードウェアの欠陥を理解し、それらの欠陥を特定、修正、防止するために使用できる自動化ツールの作成を目的としたコミュニティプロジェクトによって維持されている。このプロジェクトは、マイター・コーポレーションによって運営される米国国土安全保障省 (DHS) のサイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) のオフィスが後援しており、米国国土安全保障省のUS-CERTおよび国家サイバーセキュリティ・ディビジョンからの支援を受けている。
リストおよび関連する分類法（タクソノミ）の最初のリリースは2006年に行われた。CWE標準のバージョン4.15は、2024年7月にリリースされた。
CWEには600以上のカテゴリがあり、バッファオーバーフロー、パスやディレクトリのツリートラバーサルエラー、競合状態、クロスサイトスクリプティング、ハードコードされたパスワード、安全でない乱数などのクラスが含まれている。
例 CWEカテゴリ121は、スタックベースのバッファオーバーフロー用である。
CWE互換性 CWE（Common Weakness Enumeration）互換性プログラムは、サービスまたは製品を審査し、公式に「CWE互換（CWE-Compatible）」および「CWE有効（CWE-Effective）」として登録することを可能にする制度である。このプログラムは、組織が適切なソフトウェアツールを選択し、考えられる弱点とその潜在的な影響について学ぶのを支援する。
CWE互換のステータスを取得するには、製品またはサービスは以下の6つの要件のうち4つを満たす必要がある。
CWE検索可能 ユーザーがCWE識別子を使用してセキュリティ要素を検索できること CWE出力 ユーザーに提示されるセキュリティ要素に、関連するCWE識別子が含まれている、またはユーザーが取得できるようになっていること マッピングの正確性 セキュリティ要素が適切なCWE識別子に正確にリンクしていること CWEドキュメント 機能のドキュメントに、CWE、CWE互換性、およびその機能におけるCWE関連機能の使用方法が記載されていること CWEカバレッジ CWE互換性およびCWE有効性に関して、機能のドキュメントに、ソフトウェア内の特定に対して機能がカバレッジおよび有効性を主張するCWE-IDが明示的にリストされていること CWEテスト結果 CWE有効性に関して、CWEのソフトウェアを評価した結果を示す機能のテスト結果が、CWEのWebサイトに掲載されていること
2019年9月時点で、CWE互換ステータスを達成した製品やサービスを開発・維持している組織は56存在する。
研究、批判、および新たな展開 一部の研究者は、CWEにおける曖昧さは回避または削減できると考えている。
2024年4月16日をもって、CWE互換性プログラムは終了した。
関連項目 共通脆弱性識別子 (CVE) 共通脆弱性評価システム (CVSS) 共通攻撃パターン一覧（CAPEC） 欧州連合脆弱性データベース 脆弱性情報データベース (NVD)
脚注
外部リンク Certifying Applications for Known Security Weaknesses. The Common Weakness Enumeration (CWE) Effort // 2007年3月6日