既知の悪用された脆弱性(KEV).

CISA の KEV カタログは、実在の標的に対して悪用された確かな証拠がある CVE を一覧化したものです。これは 2021 年 11 月 3 日に発出された 拘束的運用指令 BOD 22-01 によって創設され、米連邦民間行政機関に対し、掲載項目を公表された期限までに修正することを義務づけます。期限は新規追加項目で通常 2 週間、緊急度の高い脆弱性ではさらに短くなります。

掲載されるには、CVE 番号、実際に悪用されている確かな証拠、そして明確な修正手順(通常はベンダーのパッチ)が必要です。代表的な項目には、2021 年 12 月の公表から数日で追加された CVE-2021-44228(Log4Shell)や、WannaCry・NotPetya 型のワームによる継続的悪用によって数年後も運用上の重要性を保つ CVE-2017-0144(EternalBlue)があります。

米政府主導のカタログですが、世界中の民間組織が高シグナルの優先度ソースとして利用しています。KEV 登載は、既に誰かがその脆弱性で攻撃を受けていることを意味するため、緊急パッチ適用を判断する最も強い指標の一つです。CVSS は深刻度のみを評価し実際の悪用状況は反映しないため、リスクベースの成熟したプログラムでは KEV 登載を CVSS と EPSS(悪用確率)と組み合わせ、優先修正順を決めます。

flowchart TD
  A[新規 CVE 公表] --> B{実環境での悪用を観測?}
  B -- いいえ --> C[CVSS / EPSS で追跡]
  B -- はい --> D[CISA が KEV カタログに追加]
  D --> E[BOD 22-01 の期限を設定]
  E --> F[連邦機関が修正必須]
  D --> G[民間組織が緊急パッチを優先]
  C --> H[リスクベースのバックログ]
  F --> H
  G --> H