KEVとは

KEV（Known Exploited Vulnerabilities）カタログは、米国の CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が公開している、実際に悪用が確認された 脆弱性 の一覧です。

掲載される条件

CVE の番号が付いていること、実際に悪用された証拠があること、アップデートなど明確な対処方法があることが条件です。

使い方

CVSS の数値だけでなく、KEV に載っているか（実際に攻撃に使われているか）を見て、対応の優先度を決めます。米国の連邦政府機関には、期限までの対応が義務付けられています。

確認の方法

CISA の Webサイトで検索できるほか、CSV や JSON の形式でも公開されています。脆弱性の管理ツールの中には、KEV に載っているかを自動で表示するものもあります。

関連用語

CVE、CVSS、CISA、ゼロデイ

参考

• CISA「Known Exploited Vulnerabilities Catalog」 https://www.cisa.gov/known-exploited-vulnerabilities-catalog