CVE × NVD × KEV × EPSS：同じ脆弱性を、対応判断の一枚の記録にする

確認日：2026年10月28日

同じ脆弱性が複数の情報源に載っていても、各情報源が答える問いは異なります。CVE番号で問題をそろえ、NVDの追加情報、KEVの悪用確認、EPSSの予測を読み、自社の利用環境を重ねる。BrotliのCVE-2026-111497を例に、その確認手順を整理します。

4つのノードの役割

情報源	確認する問い	記録する情報
CVE	同じ問題を扱っているか	CVE番号、問題の説明、元の参照先
NVD	深刻度や製品への適用情報は何か	評価の提供元と版、CVSS、対象製品の記載、情報の更新状況
CISA KEV	悪用が確認された脆弱性か	掲載の有無、追加日、対応の参照先
FIRST EPSS	今後の悪用活動はどの程度予測されるか	確率、必要に応じてパーセンタイル、データの日付

CVEは共通識別子の仕組みです。NVDは公開されたCVEに、参照先の分類、CVSS、CWE、CPEの適用情報などを拡充します。CVSSの深刻度と、自社固有のリスクは区別します。CVE公式、NVDの説明

KEVは既知の悪用、EPSSは今後30日間に悪用活動が観測される可能性の予測です。EPSSは日次更新され、個別組織の資産や対策状況を把握しているわけではありません。CISA公式データ配布、FIRSTのFAQ

まず、製品告知にあるCVEがCVE-2026-111497であることをそろえます。Brotli公式は1.2.1のセキュリティ修正としてこの番号を掲載しています。KEV公式データでは、同じ番号が2026年10月27日付で追加されています。Brotli公式リリース、KEV公式データ

この時点で記録できるのは、修正情報と、当該脆弱性の悪用確認に関する情報です。自社に対象のデコーダーがあるか、攻撃者が用意したデータを展開する経路があるか、配布物を更新したかは、自社の環境について確認します。

EPSSも確認する場合は、同じCVEのデータを日付と一緒に記録します。既に悪用の直接的な根拠があるときに、予測値だけで対応の優先度を下げないようにします。FIRSTも、直接的な悪用の根拠がある場合は、その根拠を予測より優先すると説明しています。EPSSとKEVの使い分け

以下は、これらを業務で使うための記録項目の提案です。

項目	残す内容
対象	CVE、製品名、利用している配布物・バージョン
影響条件	対象機能、外部入力の経路、公開範囲、確認した根拠
脅威の情報	KEVの確認結果、参照した観測報告、EPSSの値と日付
業務影響	扱うデータや機能、停止・更新時に確認すること
次の対応	修正・緩和・調査の内容、担当者、確認期限、完了条件

情報が不足している欄は「未確認」とし、誰が何を調べるかを残します。NVDの記載が少ないこと、KEVに載っていないこと、予測値が低いことを、それだけで安全の根拠にしない運用にします。

各ノードの情報をCVE番号で結び、自社で確認した事実を重ねることで、「記事を読んだ」から「次に何を確認するか」へ進めます。