CVSS・EPSS・KEV：脆弱性スコアの読み方と使い分け
目次
脆弱性の一覧を開くと、CVSS、EPSS、KEV という3つの指標が並んでいます。数値のスコアはこのうち CVSS と EPSS の2つで、KEV は悪用された実績の一覧です。
同じ CVE に高い CVSS と低い EPSS が同時に付くことがあり、その組み合わせにこそ意味があります。
3つの指標は、それぞれ別のことを示している
CVSS は技術的な深刻さ、EPSS は今後30日に悪用される確率、KEV は実際に悪用が確認されたという事実を示します。動き方も違い、CVSS の基本評価値が公開時からほぼ動かないのに対して、EPSS は日次で変わります。
図1：3つが示しているものと、動き方
CVSS が測るのは深刻さで、悪用されやすさではない
CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を0.0〜10.0で表す業界標準で、FIRST が管理しています。CVE に広く付いている一方で、公開された脆弱性のうち、ある30日間に悪用の動きが見えるのは1.5〜3%にとどまります（FIRST の観測）。CVSS の高さだけでは、どれが実際に狙われるかは決まりません。
図2：CVSS の3つの評価基準（固定される部分と、動く部分と、自分で付ける部分）
深掘り：基本評価基準が見ている8項目
基本評価基準はスコアの中核で、仕様書の定める次の8項目からなります。攻撃元区分（ネットワーク経由かローカルか）、攻撃条件の複雑さ、必要な特権レベル、ユーザー関与レベル、影響の範囲、機密性への影響、完全性への影響、可用性への影響。
現状評価基準は攻撃コードの成熟度・パッチの有無・情報の確度を、環境評価基準は対象システムの重要度と基本評価基準の組織向け再評価を扱います。ただし現状評価基準と環境評価基準は付ける側の判断が要るため、実務では基本評価基準だけが流通していることが多いです。
CVSS と EPSS を2軸で見ると、対応の型が4つに分かれる
深刻さと悪用確率は独立しているので、掛け合わせると4つの型になります。手を付ける順番が変わるのは、高い CVSS そのものではなく、この組み合わせです。
図3：深刻さと悪用確率の組み合わせで分かれる4つの型
深掘り：見落としやすいのは、深刻度が低くて悪用確率が高いもの
低い CVSS に高い EPSS が付いた脆弱性は、深刻度の一覧では下のほうに沈みます。攻撃者から見れば侵入の足がかりとして十分なことがあり、深刻度だけで並べ替えていると取りこぼします。
逆に高い CVSS に低い EPSS が付いたものは、深刻ではあるものの急いで直す根拠が弱く、通常のパッチ適用の周期で扱えます。
KEV は予測ではなく、悪用されたという事実の一覧
KEV（Known Exploited Vulnerabilities）カタログは、米国の CISA が運営する実際に攻撃で悪用が確認された脆弱性のリストです。CVE は37万件を超えますが、KEV に載るのはそのごく一部にとどまります。
図4：37万件を超える CVE と、悪用が確認された KEV の規模差
深掘り：KEV に載るための3つの基準
CVE-ID が割り当てられていること、実際に悪用されている確かな証拠があること（概念実証の存在だけでは足りません）、そして明確な対応策があること。3つ目はベンダーの修正版とは限らず、緩和策の指示や、それも無い場合の使用停止まで対応策に数えます。この3つすべてを満たしたものだけが載ります。
各エントリーには、影響を受ける製品、KEV への追加日、米国連邦機関の対応期限、推奨される対応、ランサムウェア攻撃での使用有無が付きます。自社のシステムに KEV 掲載の脆弱性があれば、手を付ける順番を前に倒す強い根拠になります。ただし順番そのものは、その資産が外から到達できるか、事業にとってどれだけ重要かまで見ないと決まりません。悪用が確認されたという事実は技術者以外にも伝わるので、報告の根拠としても使えます。
スコアは入口で、優先順位はスコアだけでは決まらない
3つとも脆弱性そのものの性質を見ていて、その脆弱性が自社のどのシステムに乗っているかは見ていません。同じ CVSS 9.0 でも、インターネットに公開されたシステムと、外から到達できないシステムでは実際のリスクが違います。
PentaTrail/CTEM は、CVSS と EPSS から脅威ディスカバリレベル（TDL）を出し、KEV 掲載なら1段階引き上げ、資産の重要度を表すBI スコアと組み合わせてTER バンド（S/A/B/C/D）に分類します。組み合わせ方の詳細は TDL の記事にあります。
図5：スコアだけでは決まらない部分を、資産の側から補って順位にする
実際の脆弱性にどのスコアが付くかは、14日間無料で試せます。
付録：スコアの目安と、3つの比較
表2：3つの指標の比較
| 指標 | 何を測るか | 更新頻度 | 特徴 |
|---|---|---|---|
| CVSS | 技術的深刻度 | 基本評価値は原則固定 | 静的、コンテキストなし |
| EPSS | 悪用される確率 | 日次更新 | 予測ベース、動的 |
| KEV | 悪用の事実 | 随時追加 | 確定情報、最も確実 |
表3：CVSS スコアの読み方
| スコア範囲 | 深刻度 | 対応目安 |
|---|---|---|
| 9.0-10.0 | Critical | 即座に対応 |
| 7.0-8.9 | High | 早急に対応 |
| 4.0-6.9 | Medium | 計画的に対応 |
| 0.1-3.9 | Low | リスク受容も検討 |
近年 Critical に分類される脆弱性の割合が増えていて、すべてに同じ緊急度で対応することは現実的ではありません。
表4：EPSS スコアの読み方
| EPSSスコア | 今後30日に悪用が観測される見込み | 急ぎ方の目安 |
|---|---|---|
| 0.9以上 | 90%以上 | 即座に対応 |
| 0.5以上0.9未満 | 50〜90% | 緊急対応 |
| 0.1以上0.5未満 | 10〜50% | 早期対応を推奨 |
| 0.01以上0.1未満 | 1〜10% | 計画的に対応 |
| 0.01未満 | 1%未満 | リスクベースで判断 |
⚠ 右の列は FIRST が定めた区切りではなく、当社が置いている目安です。 EPSS だけで順番は決まらないので、資産の重要度と外からの到達性と併せて決めます（面06）。
パーセンタイル（全 CVE の中での順位）は FIRST が確率と併せて日次で配っています。分布ごと毎日変わるので、ここには載せず、取得した時点の値を見てください。
表5：KEV の対応期限は、深刻度ではなく項目ごとに付く
| 追加日から期限までの日数 | 項目数 |
|---|---|
| 21日 | 1,025 |
| 14日 | 260 |
| 181日 | 238 |
| 3日 | 73 |
| 7日 | 20 |
カタログの配布データの2026年8月11日版1,665件を数えた上位5つです。CISA は米国連邦機関に対して項目ごとに期限を定めていて、CVSS の深刻度で一律に決めているわけではありません。民間企業が参考にできるのは期限の数字そのものではなく、悪用が確認されたものから手を付けるという順序のほうです。
出典
- 悪用のベースレート（ある30日間に1.5〜3%）と EPSS の使い方 — FIRST「Using EPSS」
- EPSS の定義（今後30日に悪用される確率・日次更新） — FIRST「EPSS」
- CVSS の評価基準の区分と、深刻度の帯 — FIRST「CVSS v3.1 仕様書」
- KEV の掲載基準と、各項目に付く情報 — CISA「Known Exploited Vulnerabilities Catalog」
- KEV の件数と対応期限の分布 — 同カタログの配布データ（2026年8月11日版を当社が数えたもの）
- CVE の累計と月あたりの公開件数 — NVD の API（2026年8月14日に当社が取得）
本文の CVSS の説明はバージョン3.1にもとづきます。KEV の掲載件数は2026年8月11日版のカタログで1,665件。CVE は累計377,157件で、新規の公開は月に7,000〜10,000件です（NVD の API で2026年8月14日に取得。月あたりは2026年5〜7月の実測で6,985／8,001／9,919件）。
