2026年に入り、米国の政府機関が脆弱性情報の管理基盤における運用方針の変更を相次いで発表している。この一連の動きは、国内組織の脆弱性管理にも影響を及ぼすことが想定される。本稿では、これらの動きを解説するとともに、国内企業が取り組む現実的な一歩目としてKEV（Known Exploited Vulnerabilities）カタログを起点とした脆弱性の優先順位づけを推奨する。
増え続ける脆弱性と脆弱性情報基盤の運用転換
NIST（米国国立標準技術研究所）が運営するNVD（National Vulnerability Database）は、脆弱性対応の優先順位づけを支える基盤となっており、商用の脆弱性管理ツールやセキュリティサービスの多くもこの仕組みを参照している。NVDの特徴のひとつが、CVE（Common Vulnerabilities and Exposures）番号が採番された脆弱性に対して、深刻度スコアや影響を受ける製品情報などの詳細情報を付加して管理している点である。近年、NVDに申請される脆弱性の件数が急増しており、NISTの発表によれば、申請数は2020年から2025年の間に263％増加し、2026年第1四半期の申請数も前年同期を約3割上回るペースで推移している。こうした背景を受け、NISTは、2026年4月、CVE番号が採番された全ての脆弱性に一律で詳細情報を付加してきたこれまでの方針を改め、以下の優先基準を満たす脆弱性に絞って、深刻度スコアなどの詳細情報を付加する運用へ移行すると発表した。
上述のKEVカタログに掲載される脆弱性は、以下の3つの要件を満たしている。
-
CVE番号が採番されている
-
実際に攻撃への悪用が観測されている
-
明確な修正・緩和策が示されている
2026年5月には、KEVカタログの運用も見直され、CISAは、悪用を確認した脆弱性をセキュリティ研究者やベンダーなどの外部関係者からKEVカタログの掲載候補として受け付けるフォームの提供を開始した。これにより、悪用が確認された脆弱性が、より迅速にKEVカタログへ掲載されることが期待される。さらに、NVDはKEVカタログに掲載された脆弱性について、1営業日以内に詳細情報を付加することを目標としており、これらの変更によって、悪用の確認から詳細情報の提供までの流れが短縮されることが想定される。
