解説
米国サイバーセキュリティ・インフラストリー庁（CISA）は、現在活発に悪用されていることが確認された脆弱性について、そのリストである「既知の悪用脆弱性カタログ」（KEV Catalog）に新たな項目を追加しています。
この動きは、連邦政府機関に対して、リスクの高い脆弱性を迅速かつ最優先で修正することを求める指針（BOD 26-04など）が背景にあります。特に、攻撃者がエクスプロイトを利用してシステム全体を制御できるような高リスクな脆弱性について、早急な対応が強く求められています。
一般の企業に対しても、このKEVカタログのような基準に基づき、経営的な視点からリスクの高い脆弱性を特定し、修復する「リスクベースのアプローチ」を採用することが推奨されています。これにより、限られたリソースを最も危険度の高いセキュリティ課題に集中させることが可能になります。
悪用が確認された脆弱性に対する早期のパッチ適用は、単なる技術的な対応に留まらず、組織全体のレジリエンスを高める上で極めて重要な取り組みとなっています。
ポイント
- CISAが、現時点で活発に狙われていることが判明した悪用脆弱性を「既知の悪用脆弱性カタログ」に追加し、情報公開を強化している。
- 連邦政府機関向けに、このカタログに基づき高リスクな脆弱性の修正（パッチ適用）を最優先事項とする指針が示された。
- 民間企業もこれを受け、経営的な視点を取り入れ、カタログの基準を満たす脆弱性に対するリスクベースでの対策強化が推奨されている。
情シスへの影響
■セキュリティポリシーと対応フローの見直し
本件は特定の技術的なパッチ適用のみならず、組織全体の「どの脆弱性を」「いつまでに」修正するかというプロセス（Vulnerability Management）の根幹に関わります。
従来の脆弱性対策が「発見された全てにパッチを当てようとする網羅的アプローチ」であったのに対し、今後は「悪用されている証拠があるものを特定し、優先的に対応するリスクベースアプローチ」への移行が求められます。組織内のセキュリティポリシーおよび修復計画フローを見直す必要があります。
■緊急度判定とリソース配分の再考
単にCVSSスコアが高いという理由だけで対応を優先するのは危険性が高まっています。今後は「現在、実際に悪用されているか」「どの程度のリスク（全制御権の獲得など）をもたらすか」という視点に基づいて脆弱性を評価することが重要になります。
この判定基準に基づき、特に影響度の高いシステムへのパッチ適用リソースを集中させる必要があります。
重要度
★★★★★
対象者
- セキュリティ担当者
- AD管理者
- Windows管理者
- Linux管理者
- ネットワーク管理者
優先度
早めに対応
推奨対応
- 【現状分析と評価】社内で使用しているシステムやソフトウェアの脆弱性管理プロセス（Vulnerability Management Process）を見直し、リスクベースアプローチを取り入れるための基準を確立してください。単なるCVSSスコアではなく、「現在悪用されている可能性」という視点での洗い出しが必要です。
- 【情報収集・優先順位付け】公的な情報を継続的に監視し、CISAや主要なベンダーが「活発に悪用されている」として警告を出している脆弱性がないかを確認してください。該当する脆弱性が判明した場合、全社的な影響度判定と修復の緊急度を再評価することが重要です。
- 【対応の準備】パッチ適用作業において、サービス停止や業務への影響が最小限となるよう、テスト環境での検証計画を立てておく必要があります。特に高リスクなシステムについては、適用前に十分にPoC（概念実証）を行いましょう。
- ※推奨される対策はすべて最新のベンダー公式情報およびセキュリティ専門家の助言に基づき実施してください。
出典・公式情報：
CISA Adds Two Known Exploited Vulnerabilities to Catalog
本記事は、上記の公開情報をもとに、情報システム担当者向けに要点・影響・確認ポイントを整理したものです。脆弱性対応・製品仕様・更新情報は変更される可能性があります。実際の対応前に必ず元記事・公式情報をご確認ください。