CISAが新たな既知の悪用脆弱性を公開、KEVカタログに基づいたパッチ適用と資産管理の見直し

解説

組織のセキュリティ対策において、実際に悪用が確認された脆弱性への対応は最重要課題の一つです。今回、米国サイバーセキュリティ・インフラ安全保障機関（CISA）から、既知の悪用脆弱性（KEV：Known Exploited Vulnerabilities）カタログに関する新たな動きがありました。

この情報は、単なる参考資料以上の意味を持ちます。高リスクな脆弱性は、もはや発見されるのを待つべき情報ではなく、迅速かつ優先的に対策を講じる必要があります。自社環境におけるセキュリティ対応の指針を見直す良い機会となります。

ポイント

• CISAが活動中の悪用が確認された新たな脆弱性をKEVカタログに追加した。
• この動きは、高リスクの脆弱性に対する積極的な管理と迅速な対策適用を全機関に促している。
• 企業全体において、KEVに含まれる脆弱性は最優先でパッチ適用や対策を実施する必要がある。

情シスへの影響

（1）最優先での脆弱性情報収集と分析:

CISAのKEVカタログを定期的に確認し、自社が利用している資産やシステムに存在する既知のCVEに含まれる脆弱性の有無を洗い出す必要があります。

（2）パッチ適用計画の見直しと実行:

KEVに含まれる脆弱性に対しては、その影響度が高い（例：単なる情報漏洩ではなく、遠隔からの完全な制御権奪取など）場合、他の優先度の高いタスクを一時的に棚上げしてでも、最速での修正パッチ適用が求められます。

（3）網羅的な資産公開と境界防御の強化:

外部に公開されているアセット（インターネットから到達可能なサービス）に関する脆弱性管理を徹底し、最小権限の原則に基づいたアクセス制限やWAF/ファイアウォールによる対策適用が重要になります。

影響範囲

ネットワーク接続される全資産（サーバー、Webサービスなど）。特に、外部に公開しているサービスのアセット。利用しているOS、ミドルウェア、アプリケーションソフトウェア全般。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• M365管理者
• Entra管理者

優先度

早めに対応

優先度の理由

KEVに含まれる脆弱性は既に悪用されている可能性が高く、残存させるリスクが非常に高い情報です。単なる参考情報として放置すると重大なセキュリティインシデントに繋がるため、「早めに対応」レベルの緊急度で対応計画の見直しが必要です。どの脆弱性が自社環境に関わるかを確認し、パッチの取得とテストを急ぐべきです。

確認手順

• CISAの公式KEVカタログを参照し、現在稼働中のシステムで使用しているOS/ミドルウェアのCVE IDとの照合を行う。
• 内部・外部に公開されているすべての資産（IPアドレス、ドメイン）について、該当する脆弱性が存在しないか棚卸しを行う。
• 発見されたKEVに関連する脆弱性に対し、利用可能な最新パッチや一時的な緩和策（WAFルール、アクセス制限など）を特定する。
• ベンダーからの緊急セキュリティアドバイザリメントを確認し、適用すべき更新プログラムの有無と手順を検証する。