4年前のLinuxカーネルの脆弱性が2026年にKEV入り ― KEVは「新しい脆弱性の一覧」ではない

1カタログに載る条件は「新しさ」ではない

CISAの悪用済み脆弱性カタログ（KEV）は、しばしば「今もっとも危険な脆弱性の一覧」のように扱われます。しかし掲載の条件は新しさではなく、実際に悪用されていることが確認された、という点にあります。この項目はそれを分かりやすく示しています。CVE番号は2022年に採番されたもので、カタログへの追加は2026年8月26日です。採番から約4年を経て掲載されました。

2採番の年と掲載の年

採番年の分布は2021年を山として、その前後に長い裾を持ちます。2002年に採番されたものまで含まれており、20年以上前の脆弱性が悪用の確認をもって掲載される例が実際にあります。一方の追加年の分布では2022年が555件と突出しますが、これはカタログの立ち上げ期に既知の悪用事例がまとめて登録されたことの反映と読めます。

3権限昇格という位置づけ

この項目はローカルの利用者が特権を得るか、サービス不能を起こしうるという内容です。外部から直接侵入する手口ではなく、すでに何らかの形で内部に入った者が権限を上げるために使う型にあたります。侵入の第一段階だけを塞げばよいという考え方が成り立たないのは、こうした二段目の道具が長く残るためです。

カーネルの脆弱性は影響範囲が広く、2026年9月2日時点で当サイトが保持する記録でも製品名の上位に Kernel（31件）が入ります。

4期限14日という指定

是正期限は追加の14日後です。2026年9月2日時点で当サイトが保持する1,687件の猶予日数は中央値21日、最短1日、最長184日なので、やや短めの指定にあたります。求められる対応は、ベンダーの指示にしたがう緩和策の適用、クラウドサービスについてはBOD 22-01の該当する指針にしたがうこと、または利用の停止です。適用の可否は必ずベンダーの公式情報と自組織の環境でご確認ください。