本文へスキップ
>_ITDITDセキュリティ対策プラットフォーム

セキュリティ対策

#CVE#CVSS#EPSS#KEV#脆弱性対応

CVE の直す順番はどう決めるか — CVSS・EPSS・KEV の使い分け

脆弱性が10件出たとき、どれから直すか。CVSS（深刻度）・EPSS（悪用される確率）・KEV（実際に悪用中）は別のものを測っており、1つだけで判断すると必ず取りこぼします。当サイトが追跡しているKEV掲載CVE 1,695件の実測で『CVSSだけ見ると64%を、EPSSだけ見ると24%を見落とす』ことを示し、優先度と期限の決め方、SSVCの考え方、自分で調べる手順まで解説します。

公開日 2026-09-04 更新日 2026-09-04 最終確認 2026-09-04 12分で読める

対象：脆弱性スキャナやDependabotが一度に10件20件と出してきて、どれから手を付けるか決められない人。指標の意味の違いと、優先順位・期限の決め方に絞ります。

3つの指標は何を答えているのか

指標答えている問い出どころ性質
CVSS悪用されたらどれくらい痛いかFIRST（計算式で算出）深刻度。攻撃されやすさは含まない
EPSS今後30日で悪用される確率FIRST（機械学習の予測）0〜1の確率。予測であって事実ではない
KEV実際に悪用されたかCISA（確認された事実の目録）事実。ただし載るのは確認できたものだけ

よくある誤解：CVSSは“リスク”ではない

CVSSが答えているのは「当たったときの重さ」だけで、「当たる確率」は入っていません。だからCVSS 9.8の脆弱性が、あなたの環境では認証の内側にあって到達不能ということが普通に起こります。逆にCVSS 6台でも、インターネットに露出していて実際に悪用されていれば、あなたにとっての優先度は最上位です。CVSSは「痛さ」、優先度は「痛さ×当たりやすさ×自分の露出」です。

実データ：KEV掲載1,695件を数えて分かったこと

当サイトはCISA KEVを機械監視し、各CVEにCVSSとEPSSを紐づけて保持しています。その**全件（1,695件・2026年9月3日時点）**を数えた結果です。

64%
KEV掲載なのにCVSSが9.0未満（1,087件）
11.5%
KEV掲載なのにCVSSが7.0未満（195件）
24%
KEV掲載なのにEPSSが0.1未満（405件）
20.8%
ランサムウェアでの利用が既知（352件）

「CVSSだけ」で運用すると

  • 9.0以上だけ直す → 実際に悪用中の64%を見送る
  • 7.0未満は後回し → 現に攻撃されている195件を放置
  • スコアは環境を知らないので、到達不能な9.8に工数を吸われる

「3つ重ねる」と何が起きるか

  • KEV掲載＝議論の余地なく最優先（事実であって予測ではない）
  • 高EPSS＝KEV入り前に先回りできる（予測の使いどころ）
  • 高CVSS＝当たったときの被害見積もりに使う
  • 最後に自分の露出で期限を決める

EPSSの正しい使い方＝“低いから無視”には使わない

KEV掲載＝実際に悪用が確認されているのに、EPSSが0.1未満のものが405件（24%）ありました。EPSSは「広く無差別に悪用される確率」を予測するモデルなので、標的型で使われるもの・公開直後で観測が溜まっていないものは低く出ます。だからEPSSは「高いから急ぐ」という一方向にだけ使うのが安全です。低い値を「安全である証拠」として扱ってはいけません。

CVSS 9.0 以上だけ直す

実際に悪用されている 1,695件のうち 1,087件（64%）を見送る

EPSS が低いから後回し

悪用が確認済みなのに EPSS<0.1 が 405件（24%）ある

KEV → 高EPSS → 高CVSS → 自分の露出

事実 → 予測 → 被害の大きさ → 到達可能性、の順に絞る

1本の軸で切ると必ず取りこぼす。実測＝KEV掲載の64%はCVSS9未満、24%はEPSS0.1未満。

直す順番の決め方

1

KEV掲載かどうかを最初に見る

実際に悪用されているという事実は、どんなスコアより強い判断材料です。KEV掲載なら、CVSSが6でも最優先で扱います。自分の使っている製品が載っているかは CVEルックアップ で確認できます（CVSS・EPSS・KEVを1画面で見られます）。

2

KEVでなければ、EPSSが高いものを先回りする

EPSSが高い（目安として0.5以上）ものは、まだKEVに載っていないだけで、これから載る候補です。当サイトの追跡分では877件（52%）がEPSS 0.5以上でした。ここを先に潰せるかどうかが、後手と先手の分かれ目になります。

3

自分の環境での“到達可能性”を掛ける

同じCVEでも、インターネットに露出しているか／認証の内側か／そもそもその機能を使っているかで優先度は変わります。「使っていない機能の脆弱性」は多くの場合、更新はするが緊急ではありません。逆に未認証で到達できるものは、スコアに関係なく最優先です。

4

期限を数字で決める

CISAはKEV掲載時に是正期限を付けています。カタログ全体では21日が最多（1,025件）ですが、**2026年に追加された210件では「3日」が最多（91件）**で、明確に短くなっています。これは米国政府機関向けの期限ですが、外部の基準として自分のSLAの出発点に使えます。当サイトの目安は「KEV かつ 未認証で到達可能＝即日、KEV＝3日以内、EPSS 0.5以上＝2週間以内、それ以外＝次の定期更新」です。

5

直したことを機械で確認する

判断より運用のほうが壊れやすい部分です。osv-scanner や pnpm audit を定期実行し、「直したつもり」を実際の依存ツリーで検証します。手順は 脆弱性対応の実務 にまとめています。

SSVC — 「スコアで並べる」から「決定木で分ける」へ

CISAは、スコアの大小で並べるのではなくいくつかの質問に答えて対応区分を決める方式（SSVC＝Stakeholder-Specific Vulnerability Categorization）も公開しています。問いは概ね「悪用されているか」「露出しているか」「自動化された攻撃が可能か」「影響は事業にとってどれくらいか」で、答えの組み合わせから Track / Track* / Attend / Act のいずれかに落とします。本記事の手順は、実質この考え方を小さくしたものです。組織で運用を明文化するなら、SSVCの語彙をそのまま借りると説明が楽になります。

当サイトの視点：優先順位を決められない本当の理由は“数字が足りない”ではない

現場で優先順位が決まらないとき、原因は指標の理解不足よりも「自分が何を使っているか分かっていない」ことのほうが多い、というのが当サイトの見方です。KEVもEPSSも、「その製品を使っているか」が分からなければ判断に使えません。だから当サイトは、CVE対応の前段に資産の棚卸しを置いています（→ 資産棚卸しチェックリスト）。逆に言えば、棚卸しさえできていれば、この記事の判断は数分で終わります。

自分で調べる

出典

次に読む

よくある質問

QCVSS・EPSS・KEV は何が違うのですか？
A

測っているものが違います。CVSSは『当たったらどれくらい痛いか』という深刻度、EPSSは『今後30日でどれくらい悪用されそうか』という確率、KEVは『実際に悪用されたことが確認された』という事実です。深刻でも狙われないものがあり、深刻度が中くらいでも実際に悪用されているものがあります。

QCVSSが高いものから直せばいいのでは？
A

それだと取りこぼします。当サイトが追跡しているKEV掲載CVE 1,695件のうち、CVSS 9.0以上は608件（36%）にすぎません。つまり実際に悪用されている脆弱性の約3分の2はCVSS 9未満で、195件（11.5%）はCVSS 7未満です。『7未満は後回し』という運用では、現に攻撃されている穴を放置することになります。

QEPSSが低ければ安全ですか？
A

違います。同じ1,695件のうち405件（24%）はEPSSが0.1未満です。EPSSは『広く悪用される確率』の予測なので、標的型で使われるものや公開直後のものは低く出ることがあります。EPSSは『低いから無視してよい』ではなく『高いから急げ』という向きにだけ使うのが安全です。

Qどれくらいの速さで直すべきですか？
A

外部の基準を出発点にできます。CISAのKEVカタログは掲載時に是正期限を付けており、2026年に追加された210件では『3日』が最多（91件）でした。以前主流だった21日や14日より明確に短くなっています。ただしこれは米国の政府機関向けの期限なので、自分の環境では『インターネットから到達できるか』『認証の内側か』を掛け合わせて決めます。