脆弱性管理
脆弱性管理（CVE・KEV）対応ガイド
日々公開されるCVEに対し、何を根拠に優先度を決め、どこまで確認すればよいかを整理するハブです。KEV・CVSS・EPSS・自社露出を組み合わせた実務判断につなげます。
まず押さえる用語
脆弱性 システムやソフトウェアに存在するセキュリティ上の弱点。攻撃者はこれを悪用（エクスプロイト）してシステムに侵入する。CVE番号で識… パッチ管理 OSやソフトウェアのセキュリティパッチを定期的に適用し、既知の脆弱性を修正するプロセス。テスト→承認→展開→確認のサイクルで管理… ペネトレーションテスト 許可を得た上で実際の攻撃者の視点でシステムへの侵入を試み、脆弱性を特定するセキュリティ評価手法。ブラックボックス・グレーボックス… CVE 脆弱性に付与される一意の識別番号。「CVE-2024-12345」の形式。MITRE Corporationが管理し、NVD（N… CVSS 脆弱性の深刻度を0〜10のスコアで表す業界標準指標。基本値・現状値・環境値の3つのスコアで構成。9以上が「緊急（Critical… EPSS 脆弱性が実際に悪用される可能性を0〜1の確率で示すスコア。CVSSとは異なり、脅威の起きやすさを扱う。… KEV 実際に悪用が確認された脆弱性の一覧。CISAのKEVカタログは、脆弱性対応の優先順位付けで重要な入力になる。… SSVC 悪用状況、技術的影響、業務影響などを踏まえ、脆弱性に対する対応判断を分類する優先度付け手法。… CVE Numbering Authority CVE番号を割り当て、脆弱性情報を公開する権限を持つ組織。ベンダーや調整機関などがCNAになる。… CVSS Vector CVSSスコアを構成する各評価項目を文字列で表したもの。攻撃経路、複雑性、必要権限、影響などを含む。…
違いを理解する（比較）
実務で使う（チェックリスト・対応手順）
関連する脆弱性（CVE）
関連ニュース・解説
- PAN-OS CVE-2026-0257がKEV追加：GlobalProtect VPNの初動確認
- Microsoft Defenderの2件がKEV追加：端末保護の更新確認と初動対応
- Nx ConsoleとTanStackのサプライチェーン侵害：開発端末で確認すること
- Langflow CVE-2025-34291がKEV追加：AI基盤のCORSとセッションを確認する
- Drupal Core CVE-2026-9082がKEV追加：Web担当者が確認すること
- Trend Micro Apex One CVE-2026-34926がKEV追加：EDR/エンドポイント運用で確認すること
- Cisco Catalyst SD-WAN CVE-2026-20182 ─ KEV追加後に管理プレーンで確認すること
- Microsoft Exchange CVE-2026-42897 ─ KEV追加後にメール基盤で確認すること