Tesuji確認日：2026年10月27日
CISA KEV Catalogは、実際の悪用が確認された脆弱性を収録するカタログです。技術的に深刻な問題を知るだけでなく、『現実に悪用されている問題か』を調べるための情報源になります。
掲載の有無をどう読むか
利用製品のCVEがKEVに掲載されていれば、自社の利用状況や公開範囲と照らし、対応の優先順位を見直す材料になります。ただし、未掲載であることは安全や悪用されていないことの証明にはなりません。製品の公式告知や新しい観測報告も確認します。
CVSSは深刻度、EPSSは悪用活動の予測、KEVは確認された悪用の情報です。それぞれ別の意味を持つため、一つの数値や掲載状態で全判断を済ませない運用を提案します。
資産一覧と照合して使う
公式のデータ配布リポジトリでは、CISAのカタログに基づくCSVとJSONが公開されています。自動照合を設計する場合は、CVEと利用製品の対応関係を整え、該当候補を担当者が確認する流れにできます。
記録には、KEVを確認した日、元の告知、自社への該当条件、対策の予定と結果を残します。カタログ上の期日を参照する場合は適用対象も確認し、そのまま自社の法的な期限とみなさず、組織の対応基準に位置づけます。