KEVとは？実際に悪用された脆弱性の一覧を解説

KEV（Known Exploited Vulnerabilities）は、米国のCISAが「実際に悪用された」と確認した脆弱性の一覧です。すでに攻撃に使われているため、優先して対応したい脆弱性の目安になります。だれでも無料で見られます。

KEVは「実際に悪用された脆弱性」の一覧

KEVは、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が公開している一覧です。CISAは、実際に悪用された脆弱性の、信頼できる情報源だとしています。

脆弱性（ソフトウェアの弱点）は毎日のように公開されます。すべてに同時に対応するのは大変なので、実際に害が出ているものから先に直す目安として使われます。

CISAは、政府機関以外の会社や組織にも、KEVを対応の優先順位を決める材料に使うよう勧めています。

1つめは、CVEの番号が付いていることです。2つめは、実際に悪用されたという信頼できる証拠があることです。3つめは、メーカーの更新など、はっきりした対策があることです。

ここでの「悪用」は、持ち主の許可なく、攻撃者が不正なプログラムを動かしたことを指します。攻撃の試みも含まれます。

一方で、ただの調べる通信（スキャン）や、セキュリティの研究、公開された攻撃の見本（PoC）は、悪用には数えられません。

米国の連邦政府の文民の行政機関は、KEVに載った脆弱性を、決められた期限までに対応するよう義務づけられています。対応とは、更新で直すことや、被害を抑える対策をとることです。KEVの各項目には、この期限（Due Date）が書かれています。

この決まりは、CISAの指令（BOD 26-04）で定められています。2026年6月10日に出され、それまでのBOD 22-01に代わりました。KEVに載せる条件は、前の指令から引き継がれています。

期限の決まりは米国の政府機関向けです。日本の会社や個人に義務があるわけではありませんが、早めに対応する目安として参考になります。

CVSSの点数は、脆弱性そのものの深刻さを表します。実際に攻撃に使われているかどうかは、点数からは分かりません。

CISAは、悪用のしやすさはKEVに載せる条件ではないと説明しています。KEVに載るかどうかは、実際に悪用されたかどうかで決まります。

そのため、点数が中くらいでもKEVに載ることがあります。反対に、点数が高くても、まだ悪用が確認されていないものもあります。どちらも、確認できたことを表す情報として見ることが大切です。

KEVの各項目には「Known To Be Used in Ransomware Campaigns?」という欄があります。ランサムウェア（データを使えなくして身代金を求める不正なプログラム）の攻撃に使われたと分かっているかを表す欄です。

値は「Known」か「Unknown」です。Knownは、ランサムウェアの攻撃との関係が分かっているという意味です。

Unknownは、CISAがランサムウェアでの悪用を確認できていないという意味です。このサイトでは「不明（確認されていない）」と表示しています。ランサムウェアに使われていないと言い切るものではない点に注意しましょう。

このサイトの記事は、主にKEVに載った脆弱性を解説しています。KEVに載った脆弱性の記事では、米国政府機関の対応期限と、ランサムウェアでの悪用の欄も表示しています。

KEVに載っていないからといって、安全という意味ではありません。悪用が分かってから追加されることもあります。使っている製品が記事にあれば、メーカーの公式情報を確かめ、早めに更新しましょう。