測る道具も性質が違います。CVE件数は「発見」であって悪用とは別物。KEVは「確認された悪用」で、CISA KEVは無償・低ノイズですが保守的、VulnCheck KEVは広いものの exploit intelligence を販売する企業の発表です。EPSS(FIRST)は悪用される確率の予測で、実際の悪用記録ではありません。 そして最大の前提として、どのKEVも「既知・観測・報告された」悪用=下限値であり、検知されない暗数があります。CISA KEVは同庁の処理能力や選定方針にも左右されます。なので「KEVに無い=安全」とは言えませんし、KEVの増減だけで悪用の総量を語ることもできません。 2. 件数は増えた。でも“悪用される割合”は爆発していない まず、よくある「CVEが爆発した」という話を整理しておきます。 公開CVEは2023→2025で約29,066→≈48,185と激増しまし