まず全体像です。KEVカタログには2026年8月7日版の時点で1,662件が登録されています。これを開発元（ベンダー）ごとに分類すると、上位はこうなります。

Microsoftが突出しているのは当然で、世界中のパソコンとサーバーに入っている以上、狙われる総量が桁違いだからです。ここは驚くところではありません。

驚くべきなのは、太字にしたベンダーの顔ぶれです。Ivanti、Fortinet、Citrix、SonicWall、Palo Alto Networks。いずれも「会社のネットワークを守る側」に立つ製品を作っている会社が、AdobeやOracleと肩を並べる位置に食い込んでいます。

そこで、セキュリティ製品・ネットワーク境界機器を主力とするベンダーを抜き出して合計してみました。

ただし、この271件という数字はフェアに扱う必要があります。Ciscoの95件には、セキュリティ製品ではないルーターやIOS（ネットワーク機器のOS）の脆弱性も相当数含まれています。Ciscoを除いて厳しめに数え直すと176件・10.6%です。どちらの数え方でも「1割から2割が守る側の製品」という結論は動きません。

もうひとつ、見過ごせない数字があります。KEVカタログには「その脆弱性がランサムウェア攻撃に使われたことが判明しているか」という項目があります。

全体の20.3%に対して24.0%。セキュリティ製品の脆弱性は、平均よりもランサムウェアに使われやすいということです。理由を考えれば納得できます。ファイアウォールやVPN装置はインターネットに面していて、社内ネットワークの入口に立っています。ここを破れば、いきなり内側に入れる。ランサムウェアを仕掛ける側にとって、これほど効率のいい入口はありません。

この「境界機器を破ってから内側で暴れる」という流れそのものについては、境界機器が狙われる理由とは？ESXiランサムウェア攻撃の全体像を解説で攻撃の全体像を追っていますので、あわせてご覧ください。

ここからは製品単位で見ていきます。当サイトで管理している防御製品78本のうち、KEVカタログに1件以上該当したのは21製品でした。

ただし、単純に件数を並べるだけでは正確になりません。脆弱性には「その製品固有のもの」と「中で使っている共通部品のとばっちり」の2種類があるからです。この記事では前者を「直撃」、後者を「巻き込まれ」と呼んで分けて数えました。

この区別をしないランキングは、製品の評価としてかなり不正確になります。実際に分けてみると、こうなりました。

合計すると直撃99件・巻き込まれ17件。全体としては「製品自身の穴」が圧倒的多数です。境界機器を売る会社の製品が、自らの作りの問題で繰り返し破られてきたという事実は、この数字からは否定できません。

一方で、表の下のほうを見てください。Microsoft SentinelとIBM QRadar SIEMは、KEV該当がすべて「巻き込まれ」です。製品自身の欠陥で悪用された記録は、この集計範囲ではゼロでした。件数だけを見て「Sentinelは4件、Check Pointは2件だからSentinelのほうが危ない」と読むと、完全に逆の結論になってしまいます。

もう一点、日本の読者に関係が深い項目があります。表の中のLANSCOPE エンドポイントマネージャーは、日本のエムオーテックス社の製品です。CVE-2025-61932は2025年10月20日に公表され、その2日後の10月22日にKEV入りしました。「海外製品の話でしょう」と片付けられない実例です。

ここが、この記事でいちばんお伝えしたい部分です。

脆弱性が公表されてから、実際に悪用が確認されるまで、どれくらいの時間があるのか。「週末にまとめてパッチを当てよう」が通用するのかどうか、という話です。

防御製品ごとに「脆弱性の公表日」から「KEVカタログに載った日（＝悪用が確認された日）」までの日数を計算しました。

16製品の中央値は4日。そのうち10製品が7日以内です。そして4製品は、脆弱性が公表されたその日のうちに悪用が確認されています。

そして2026年、この状況に対する当局側の対応も変わりました。

是正期限そのものが短縮された

KEVカタログの各エントリには「dueDate（是正期限）」が設定されています。これは米国の政府機関に対して「この日までに直しなさい」と命じる期限です。

この期限が、2026年に大きく変わりました。KEVカタログの原本から、追加日と期限の差を月別に集計したものが以下です。

2025年は「21日」がほぼすべてでした。それが2026年3月に「14日」が現れ、4月には「21日」が完全に消え、6月以降は「3日」が主流になっています。期限の中央値は、2026年前半の14日から、6月10日以降は3日へ短縮されました。

この背景にあるのが、2026年6月10日に発出されたBOD 26-04（Prioritizing Security Updates Based on Risk）です。これは従来のBOD 22-01（2021年、KEVカタログを作った指令）とBOD 19-02を廃止して置き換えたもので、一律の期限をやめ、次の4条件でリスクを採点して期限を決める方式に変わりました。

ここで思い出してほしいのが、第1章と第2章の内容です。インターネットに面していて（条件①）、KEVに載っていて（条件②）、乗っ取られたら内側に入られる（条件④）——ファイアウォールやVPN装置は、この採点方式でほぼ自動的に最上位に来る性質を持っています。実際、2026年7月にKEV入りした26件のうち22件が3日期限でした。

ここまで「KEV入り回数」を軸に話してきました。なぜ「CVEの総数」を使わなかったのか、その理由を説明します。

同じ78製品について、CVE（脆弱性）の総数を数えると、順位はまるで変わります。

Juniper SRXはCVEが787件と最多ですが、実際に悪用された記録は7件です。逆にIvanti Connect Secureは147件のうち14件が悪用されています。比率でいえば約10倍の差があります。

CVSSが低くても悪用される

もうひとつ、よくある誤解があります。「深刻度スコア（CVSS）が9以上のものだけ急いで対応すればいい」という考え方です。

今回の集計に出てきた実例を見てください。

CVE-2025-68686はCVSS 5.9、つまり「中程度」の評価です。EPSS（今後30日以内に悪用される確率の予測値）にいたっては1.3%しかありませんでした。スコアで足切りしていたら、確実に見逃していた脆弱性です。それでも現実には悪用され、KEVに載りました。

LANSCOPEのCVE-2025-61932も同様で、EPSSは2.6%という低さでした。EPSSは統計的な予測モデルであって、予言ではありません。「実際に悪用された」というKEVの事実は、どんな予測スコアよりも強い情報です。

78製品をカテゴリ別に集計すると、はっきりした傾向が出ました。

3カテゴリ合計114件のうち、87件（76%）をFWカテゴリが占めています。25製品中12製品、つまり約半数が「実際に悪用された」経験を持っています。理由は単純で、ファイアウォールやVPN装置はインターネットに直接面していなければ仕事にならないからです。攻撃者から見れば、常に手が届く場所に置かれた鍵です。

対照的に、XDRとMDRはゼロでした。ただしこれを「XDRは安全」と読むのは早計です。

SIEMについては、第2章で触れた「巻き込まれ」の話がそのまま当てはまります。SIEMのKEV 13件のうち、Microsoft SentinelとIBM QRadarの計6件はすべて共通部品由来でした。SIEMは大量のログを扱うためにJavaやOSSのライブラリを深く使っており、Log4jのような共通部品の事故に巻き込まれる形のリスクが構造的に高いのです。SIEMを守るということは、実質的には「その下で動いている部品を把握しておく」ということでもあります。

なお、EDRの14件のうち11件はTrend Micro Apex One（オンプレミス版）です。EDRのなかでも自社サーバーに設置する型の製品は、管理サーバーが攻撃対象になり得るという点で、クラウド型とは性質が異なります。

ここまでの内容を、明日から手を動かせる形にまとめます。専門部署がない会社でも実行できる順に並べました。

1. 自社の「インターネットに面している機器」を書き出す

最優先はこれです。ファイアウォール、VPN装置、リモートアクセス用のゲートウェイ。製品名・型番・現在のファームウェア版数を一覧にしてください。第1章で見たとおり、攻撃者の投資はここに集中しています。一覧が作れていない状態では、KEVが更新されても自社に関係があるかどうか判断できません。

2. KEVカタログを「自社の製品名で」検索する習慣をつける

CISAのKEVカタログは誰でも無料で閲覧でき、機械可読なJSON形式でも公開されています。週に1回、1で作った一覧の製品名で検索するだけで、「自社の機器がいま実際に狙われているか」がわかります。ニュースを待つ必要はありません。

3. 境界機器のパッチだけは「3日以内」を目標にする

すべての機器を3日以内に更新するのは現実的ではありません。しかし第3章で見たとおり、境界機器については米国政府が自らに3日を課すほどの状況です。対象を「インターネットに面している機器」に絞れば、台数は多くないはずです。その範囲だけでも即応体制を作る価値があります。

4. 管理画面をインターネットに晒さない

今回KEVに載った脆弱性を見ると、PAN-OSのCVE-2024-0012やCVE-2024-9474のように「管理インターフェース」を対象としたものが繰り返し登場します。管理画面へのアクセスを社内ネットワークやVPN経由に限定するだけで、多くの攻撃は届かなくなります。パッチを当てる前の時間稼ぎとしても有効です。

5. サポートが切れた機器を使い続けない

第2章の表に出てきたArray Networks AGシリーズは、公表から312日後にKEV入りしました。古い機器ほど、攻撃者は「まだ直していない組織が残っている」と踏んで後から狙ってきます。サポート終了した境界機器は、脆弱性が見つかっても直す手段がありません。

セキュリティ製品を買うことは、依然として正しい判断です。この記事は「ファイアウォールをやめよう」という話ではまったくありません。ただ、買って設置した時点で対策が終わるのではなく、その製品自身が最前線の攻撃対象になったという事実を引き受ける必要がある、ということです。

自社で使っている製品の脆弱性情報を実際に確認する手順については、【2026年版】Microsoft SharePointの重大脆弱性とは？今すぐ確認したい緊急対策まとめで、具体的な製品を題材に確認の流れを解説しています。また、身近なツールにも同じ問題が起きる例としてOllama に CVSS 9.1の重大脆弱性もあわせてご覧ください。