深刻な脆弱性の危険性を再認識：CISAの既知悪用脆弱性カタログ（KEV）更新と対応指針

解説

近年、サイバー攻撃の手口はますます巧妙化しており、企業の情報システムに対する脅威は年々高まっています。特に脆弱性を突いた攻撃は主要な侵入経路となっており、適切な管理が不可欠です。

今回注目すべき点は、米政府の情報セキュリティ機関（CISA）が提供する「既知悪用脆弱性カタログ（KEV Catalog）」に新たな脆弱性が追加されたことです。このカタログは、現在実際にサイバー攻撃者によって悪用されていることが確認された重大な脆弱性を集めたリストです。

さらに、米国連邦政府の機関に対しては「BOD 26-04」という指令が出されており、これにより、単に致命度が高いだけでなく、すでに実際に利用され攻撃に使用されている脆弱性に対し、優先的な修正対応が求められるという指針が明確になりました。これは、セキュリティ対策におけるアプローチを大きく変えるものです。

本ガイドラインは連邦政府機関向けですが、民間企業においてもリスクベースでの脆弱性管理の重要性を再認識させるものであり、早急な対応が必要な状況です。

ポイント

• CISAが、実際に悪用が確認された脆弱性のカタログ（KEV）を継続的に更新しているため、監視と対応が必須である。
• 連邦政府向け指令（BOD 26-04）は、「すでに攻撃に使われている」という事実に基づいた優先順位付けの重要性を再強調している。
• 民間企業においても、この指針を取り入れ、悪用事例が確認された脆弱性から対策を始めるべきである。
• 管理システムは単なるCVSSスコアではなく、実際の脅威状況に基づいてリスク評価を行う必要がある。

情シスへの影響

【全体的な対応方針の強化】

セキュリティパッチ適用において、単なる致命度（CVSSなど）だけでなく、「現在実際に悪用されているか否か」を最重要視する必要がある。

【優先順位付けの見直し】

攻撃者に利用が確認された脆弱性、特に公開されている資産で全体制御権をもたらすものは、他の高リスクな脆弱性よりも高い優先度で修正対応を行うべきである。

【管理プロセスの改善】

セキュリティチームは、自社環境の外部公開しているアセット（IPアドレスやサービス）を特定し、それに関連する既知の悪用情報を常に収集・照合する必要がある。

影響範囲

全情報システム資産（クラウド、オンプレミス含む）、ネットワークに接続された全てのサーバおよびエンドポイント。特にインターネットに直接公開されているWebサービス、APIゲートウェイ、外部連携機能を持つシステムが重点的な影響を受ける。

対象バージョンや製品は限定されていないが、「パッチ適用が必要な特定のソフトウェア」が影響源となり得るため、棚卸しとパッチレベルの確認が必要。ID管理領域（認証基盤など）も攻撃されやすいため注意。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• システム管理者

優先度

早めに対応

優先度の理由

本件は、脆弱性対策における『基準』そのものが変化したことを示しており、これまでCVSSスコアなどに依存していた評価体制の見直しが必要です。特に「悪用されているか否か」を最重要視するリスクベースの考え方を導入し、攻撃者に利用された履歴のある脆弱性の洗い出しとパッチ適用を急ぐ必要があります。

確認手順

• 自社が管理・運用している全情報システムアセット（クラウド/オンプレ）について、外部からの公開状況リストを作成する。
• 作成した公開資産のソフトウェアやファームウェアのバージョン情報を収集し、ベンダーから緊急セキュリティ通知が出ていないか確認する。
• 「既知悪用脆弱性」に焦点を当てたログ分析を行い、特定のCVE IDに関する異常なアクセス試行がないか監査を行う。
• 外部の脅威情報フィード（CISAなど）と照合し、自社が保有する資産に関連する警告や勧告が出ていないかを定期的にチェック体制を構築する。