CISA KEV 日本語ダッシュボード｜攻撃中の脆弱性カタログを全件検索

米CISAが公開する「攻撃に使われている脆弱性」カタログを日本語で全件検索できるダッシュボードを作った

米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は、実際に攻撃に使われていることが確認された脆弱性だけを集めた KEV（Known Exploited Vulnerabilities）カタログを毎日更新で公開しています。本日時点で1,603件。先日のLiteSpeed cPanel脆弱性も、Chrome WebGPUのゼロデイも、登録された瞬間にここに並びます。

問題は、CISAのサイトが英語の表組みで、ベンダーや製品で絞り込みづらく、「日本でよく使われている製品にどれが該当するか」が見えないことです。日本語UIで全件を引いて、ベンダー・追加日・ランサム関連・国内シェア上位ベンダーでフィルタできるダッシュボードを作りました。ブラウザだけで完結、アカウント登録もインストールも不要です。

本記事では、まず下のダッシュボード本体を触ってもらい、続けて「そもそもKEVとは何か」「なぜ日本語が必要だったか」「裏側の仕組み」「このツールでも見えないこと」の順で説明します。

CISA KEV 日本語ダッシュボード

データソース: cisagov/kev-data（CISA公式のGitHubミラー、米国連邦政府著作物）／取得はブラウザ側で1日1回程度を目安に、ETag一致時は再ダウンロードしません。

そもそも何をやっているのか——出てきた用語のおさらい

ダッシュボードの結果に出てくるCVE、KEV、NVD、CWE、BOD 22-01といった用語が初見の方向けに、この記事に出てくる主な用語を一段下のレベルで整理しておきます。普段からKEVを業務で使っているCSIRT/SOC/SREの方は、この節は読み飛ばしても問題ありません。

大雑把に言えば、KEVは「世界中の攻撃ログをCISAが集約して、観測実績のある脆弱性だけを抜粋した名簿」です。米連邦機関は期限内の修正が義務、その他の組織は「世界の防衛側が今どこを優先しているか」を読み取る指標として使います。

なぜ日本語ダッシュボードが必要だったか

CISAの公式ページは英語の表組みで、追加日順に並んでいるだけです。実務で必要なのはここから先の絞り込みです。

• ▸ 「自社で使っているベンダーだけ」見たい。1,603件の全件を読むのは現実的でない
• ▸ ランサム関連だけ抜粋したい。経営層への報告は「身代金型に使われた」事実があると話が早い
• ▸ 日本国内で広く使われている製品を強調したい。米国市場向けに作られた一覧は、Cybozu や Fujitsu のような国内独自ベンダーが埋もれる
• ▸ 期限超過のものを切り分けたい。CISAの是正期限を過ぎても放置されている脆弱性は、攻撃面に長く晒されている

どれも英語の公式ページを目で追って手作業で抽出する作業で、CSIRT・SOC・情シス・SREの実務でじわじわ時間を奪います。日本語UI＋フィルタを揃えたダッシュボードでまとめて1画面で扱えるようにしました。

既存ツールとの違いも書いておきます。vulncheck や商用脆弱性管理ツールはKEVを取り込んだ機能を持っていますが、有償・アカウント登録・社内導入承認のハードルがあります。本ダッシュボードは「貼って即見たい」「個人で確認したい」のレベルにフィットさせています。

裏側の仕組み——CISA公式ミラーをブラウザで直接引く

このダッシュボードにもサーバーはありません。HTMLとJavaScriptだけで構成されており、KEVの全件JSONをCISA公式のGitHubミラーから直接取得して、ブラウザ側でフィルタ・並び替え・件数表示までを処理しています。

気をつけた点が2つあります。ひとつはCORS。CISA本家の cisa.gov/sites/.../known_exploited_vulnerabilities.json はブラウザからの直接fetchで Access-Control-Allow-Origin ヘッダを返してくれません。本ツールは同じデータをCISA本体（github.com/cisagov）が運営するGitHubミラーから取得しており、こちらは access-control-allow-origin: * を返すためブラウザfetchが通ります。データの整合性は catalogVersion と dateReleased で本家と一致することを確認しました。

もうひとつは初回ダウンロードの重さ。1.5MBの一括取得は1回だけ我慢してもらい、2回目以降は IndexedDB のキャッシュを使います。ETagを保存しておき、次回起動時に If-None-Match ヘッダで再確認、変更がなければキャッシュからそのまま読み込みます。KEVは1日数件追加のペースなので、頻繁な再ダウンロードは要りません。

「国内独自ベンダー」「国内シェア上位」の判定は、自前の辞書（JSコード内のハードコード）で行っています。KEVが米国攻撃事例を起点としている性質上、CybozuやFujitsuといった国内独自ベンダーの登録は少ないのですが、Microsoft・Apple・Cisco・Adobe・Googleなど国内利用率の高い海外ベンダーは大量にヒットします。両方のフィルタを切り替えられるようにしました。

各フィルタの細かい挙動

テキスト検索

CVE番号・ベンダー名・製品名・脆弱性名・説明文・追加コメントの全フィールドを対象に部分一致で検索します。大文字小文字は区別しません。複数キーワードはスペース区切りで AND 検索（例: Cisco router）。

ベンダー絞込

KEV 全件から実在するベンダー名（vendorProject）を自動で抽出してドロップダウンに並べます。本日時点で約120ベンダー。よく出るのは Microsoft（377件）、Apple（93件）、Cisco（90件）、Adobe（79件）、Google（71件）、Oracle（42件）あたりです。

国内独自ベンダー / 国内シェア上位ベンダー

2層になっています。

• ▸ 国内独自: Cybozu / Fujitsu / NEC / Nintendo / Panasonic / Sony / Canon / Trend Micro / Ricoh / Hitachi / Toshiba / Brother / Sharp / Epson / Buffalo / I-O DATA / ELECOM / JustSystems / Yamaha / SoftBank / Rakuten / IIJ / Bandai Namco / Konica Minolta（完全一致、25社）
• ▸ 国内シェア上位: Microsoft / Apple / Cisco / Google / Adobe / Oracle / VMware / Fortinet / F5 / Citrix / Atlassian / Apache / Linux / Synology / QNAP / Ivanti / Palo Alto Networks / SonicWall / TP-Link / D-Link / Zoho / PostgreSQL / WordPress（完全一致、23社）

辞書はJSハードコードで、手動メンテです。「これも入れて欲しい」というベンダーがあれば、本記事のコメントから教えてください。

ランサム関連 / 期限超過

ランサム関連は、CISAが knownRansomwareCampaignUse を Known として登録した脆弱性だけを表示します。期限超過は dueDate が今日より古いものを抜粋します。米連邦機関を念頭にした期限ですが、「世界の管理者が動く日が過ぎている」目安として有用です。

このダッシュボードでわからないこと

使いどころを誤ると過信に繋がるので、見えていない範囲を先に並べておきます。

• ? 未公開・未観測の脆弱性は出ません。KEVは「攻撃に使われた」確認後に登録されます。ゼロデイの瞬間は無防備です
• ? 登録の遅延があります。CISAが情報収集から登録まで数日〜数週間かかることが普通です。KEVに無いから安全、ではありません
• ? 国内独自ベンダーの捕捉率は低めです。KEVは米国攻撃事例ベースの選別で、Cybozu や Fujitsu のような国内独自製品は登録されにくい傾向があります。JPCERT/CC・IPAの注意喚起と併用してください
• ? 影響範囲の詳細はNVDを別途参照する必要があります。KEVは「攻撃された」事実が中心で、CVSSスコア・影響を受けるバージョン詳細はNVD側にあります。各行のCVE番号からNVDへリンクしてあります
• ? 自社環境の保有資産との突合は別作業です。「該当した脆弱性が自社の実機に存在するか」は資産管理台帳との突合が必要です。本ツールはあくまでカタログ閲覧の効率化です

本サイトの過去CVE速報とKEVの紐付け

本サイトで追ってきた直近のCVE速報のうち、KEV登録に至った事例を整理しておきます。「速報の時点でKEV入り済み」と「速報を出した直後にKEV入り」の両パターンがあります。

関連して、依存ライブラリ起点のサプライチェーン攻撃も合わせて確認できます。OSSサプライチェーン汚染スキャナーと組み合わせて使うと、自分のプロジェクトに紐づく脆弱性（攻め）と、世界の攻撃中脆弱性カタログ（守り）の両面が見渡せます。

追加してほしい機能・要望

現状の優先実装は本記事のスコープまでです。次の更新で検討しているのは以下です。

• ▸ 絞込条件付きのRSS出力（CSIRT・SOCのフィードリーダーで購読できる形）
• ▸ ブラウザPush通知（新規KEV登録があった時に通知）
• ▸ 本サイトの既存CVE速報28本に「現在KEV登録中」の動的バッジを貼る機能
• ▸ 国内独自ベンダー辞書の半自動更新（JPCERT/CC・IPA・JVN等の和文ソースと突合）

必要そうなものがあれば、本記事のコメントやお問い合わせから教えてもらえると、優先度を組み替えます。

参照元・ライセンス

• • KEVカタログ: CISA Known Exploited Vulnerabilities Catalog（米連邦政府著作物・U.S. Government Works）
• • GitHubミラー: cisagov/kev-data（CISA公式・CORS対応）
• • BOD 22-01: CISA Binding Operational Directive 22-01
• • NVD連携: National Vulnerability Database（米NIST運営）
• • 関連の和文情報源: JPCERT/CC、IPA、JVN

KEVカタログは米連邦政府著作物として著作権保護の対象外ですが、運営はCISAが行っています。本ダッシュボードはCISA・米国政府の提供サービスではなく、本サイトが独立して提供する閲覧クライアントです。