このページの内容
1. 項目の読み方
| 項目（原文） | 意味 | 使い方 |
|---|---|---|
| CVE ID | 脆弱性の番号 | 照会の文に書く |
| Vendor / Product | 開発元・製品 | 委託先リストと照らす |
| Date Added | カタログに加えられた日 | 悪用が確認された時期の目安 |
| Required Action | CISA が示す対応 | 修正版の適用など |
| Due Date | 米国の連邦政府機関の対応の期限 | 自社の期限の参考 |
| Known Ransomware Campaign Use | ランサムウェアでの既知の使用 | 「Known」なら優先を上げる |
| Forensic Triage | 修正版の前に侵入されていないかの確認を求めるか | 「Yes」なら痕跡の確認も聞く |
2. 掲載が意味すること・しないこと
| 意味すること | 意味しないこと |
|---|---|
| どこかで実際に悪用された | 自社が攻撃を受けた |
| 対応の順番を前に出す目安 | 載っていない脆弱性は悪用されていない |
| 米国の連邦政府機関には対応の期限がある（拘束的運用指令 BOD 26-04。以前は BOD 22-01） | 日本の企業に法的な期限がある |
国内で悪用が確認された脆弱性は、JPCERT/CC の注意喚起や開発元の公表で先に分かることもあります。KEV だけで判断しないでください。
3. 照会への使い方
- 新しく加わった項目の製品が、委託先リストに載っているかを見る
- 載っていれば、照会の順番を上げ、痕跡の確認も合わせて聞く
- ランサムウェアでの使用が「Known」なら、バックアップの状況も聞く
- 照会の記録に、KEV に加わった日を書いておく
{{製品名}}の脆弱性（CVE-{{年}}-{{番号}}）が、{{日付}}に米国 CISA の KEV カタログ（悪用が確認された脆弱性の一覧）に加わりました。当社の委託先のうち{{件数}}社が同じ製品を使っているため、優先して照会しています。
公開の一覧悪用が確認された脆弱性の一覧 →
よくある質問
- KEV に載っていない脆弱性は、後回しにしてよいですか。
- いいえ。KEV は米国 CISA が悪用を確認したものの一覧で、載っていないことは悪用されていないことを意味しません。JPCERT/CC の注意喚起や開発元の公表も合わせて見てください。
原典・参考にした資料
- 米国 CISA「Known Exploited Vulnerabilities Catalog」
- 米国 CISA「BOD 26-04: Prioritizing Security Updates Based on Risk」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。