KEV（既知の悪用された脆弱性カタログ）とは？

KEV（既知の悪用された脆弱性カタログ）とは、実際に悪用が確認された脆弱性だけを米国CISAが列挙した一覧。膨大な脆弱性のうち攻撃が現に起きているものを示すため、限られた保守枠の中で修正の順番を決める強い根拠になる。米政府機関には期限付きの是正が課される。

けーいーぶい

情報処理安全確保支援士試験の頻出用語／午前II／別名：KEV、既知の悪用された脆弱性カタログ

KEV（既知の悪用された脆弱性カタログ）の意味

実際に悪用が確認された脆弱性だけを米国CISAが列挙した一覧。膨大な脆弱性のうち攻撃が現に起きているものを示すため、限られた保守枠の中で修正の順番を決める強い根拠になる。米政府機関には期限付きの是正が課される。

深刻度7.5でも悪用実績のあるものを、9.8だが悪用の確認されていないものより先に直す、という判断ができる。VPN装置など境界機器の脆弱性は掲載直後から探索が急増するため、掲載自体を監視の合図にする。

掲載が無い＝安全ではなく、悪用が「確認されていない」だけである。またCVSSは影響の大きさを表す指標で、悪用の起きやすさは表さない。両者は目的が違うので互いに置き換えられない。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。