最終更新日：
KEVとは、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が公開している、実際に悪用されたことが確認された脆弱性の一覧です。
KEVは Known Exploited Vulnerabilities の略です。CISAは、このカタログを、実際に悪用された脆弱性の情報源と位置づけ、組織が脆弱性への対応の優先順位を決めるときの材料として使うよう案内しています。
脆弱性の深刻さを表す CVSS の値が同じでも、すでに悪用されているものは、対応を急ぐ理由になります。KEV に載っている脆弱性が、自社で使っている製品やインターネットに面した機器に当たる場合は、早めに修正版を当てるか、提供元の案内する回避策を取ります。米国の機関の一覧ですが、海外製の製品も多く載っているため、日本の会社でも参考になります。
関連する用語
- CVE公表された脆弱性の一つ一つに付けられる、世界で共通の識別番号の仕組みです。
- CVSS脆弱性の深刻さを、0.0から10.0までの数値と段階で示す、共通の評価の方法です。
- 脆弱性管理使っているシステムの脆弱性の情報を集め、影響を見極めて、直すまでを続けて管理することです。
- セキュリティパッチソフトウェアに見つかった脆弱性を直すために、提供元が配る修正のプログラムです。