読み方：ケーイーブイカタログ

KEVカタログ【Known Exploited Vulnerabilities Catalog】既知の悪用された脆弱性カタログ

概要

KEVカタログとは、ソフトウェアなどに発見された既知の脆弱性のうち実際に悪用が確認された脆弱性のリスト。優先的にパッチ適用すべき脆弱性を判断する際の実務的な参照情報として広く活用されている。米政府機関CISAが作成・公開している。

一般にソフトウェアやネットワーク機器では多数の脆弱性が報告されるが、そのすべてが実際の攻撃に利用されるわけではない。KEVカタログは、サイバー攻撃などに実際に使用されたことが確認された脆弱性を抽出して整理したものであり、現実の脅威に直結する問題を把握するための情報源として利用される。

掲載される脆弱性には、共通脆弱性識別子であるCVE（Common Vulnerabilities and Exposures）が割り当てられており、影響を受ける製品や対策期限、修正方法などの情報が付記されることが多い。これにより、組織のセキュリティ担当者は自社のシステムに影響する脆弱性を迅速に特定できる。

米連邦政府機関に対しては、「BOD 22-01」（拘束的運用指令）という法的拘束力のある指令により、KEVカタログ掲載の脆弱性を定められた期限内に修正することが義務づけられており、重大度に応じて通常2週間から数週間の対応期限が設定される。民間企業や政府系請負業者に対する法的拘束力はないが、実際の攻撃事例に基づくリストとして信頼性が高く、セキュリティ担当者がパッチ適用の優先順位付けを行う際の実務上の基準として用いられることがある。

2021年から米連邦政府機関の一つであるCISA（Cybersecurity and Infrastructure Security Agency）が作成・更新しており、CISAのWebサイト上でキーワード検索できるほか、CSVあるいはJSON形式で一覧をダウンロードすることもできる。脆弱性管理ツールやセキュリティ運用システムに取り込んで利用することも可能である。

(2026.3.13更新)