既知の悪用された脆弱性(KEV)

CISA の KEV カタログは、実在の標的に対して悪用された確かな証拠がある CVE を一覧化したものです。BOD 22-01 のもと、米連邦民間機関は新規追加された項目を通常 2 週間以内に修正する必要があります。米政府主導のカタログですが、世界中の民間組織が高シグナルの優先度ソースとして利用しており、KEV 登載は脆弱性の緊急パッチ適用を判断する最も強い指標の一つです。リスクベースの脆弱性管理プログラムでは、CVSS の深刻度や EPSS 確率と組み合わせて用いられます。