CVSS, EPSS และ CISA KEV: จัดลำดับการแก้ช่องโหว่อย่างไร

ช่องโหว่ (vulnerability) คือจุดอ่อนในซอฟต์แวร์ที่ผู้โจมตีนำไปใช้ได้ เมื่อมีช่องโหว่จำนวนมาก ต้องมีคนเลือกว่าจะแก้อันไหนก่อน บทความนี้เปรียบเทียบ CVSS, EPSS และ KEV ซึ่งเป็นตัวช่วยตัดสินใจ 3 ตัวที่มักถูกเข้าใจสับสนกัน CVSS (Common Vulnerability Scoring System ระบบให้คะแนนความรุนแรงของช่องโหว่) บอกว่าช่องโหว่ร้ายแรงแค่ไหนในทางเทคนิค EPSS (Exploit Prediction Scoring System ระบบประเมินโอกาสถูกโจมตี) บอกความน่าจะเป็นที่ช่องโหว่จะถูกโจมตีใน 30 วันข้างหน้า ส่วน KEV (Known Exploited Vulnerabilities รายการช่องโหว่ที่ถูกโจมตีจริง) คือรายการช่องโหว่ที่ CISA (หน่วยงานด้านความมั่นคงไซเบอร์ของสหรัฐฯ) มีหลักฐานเชื่อถือได้ว่าถูกโจมตีจริงแล้ว ทั้งสามตอบคำถามคนละข้อ จึงใช้ร่วมกันได้ผลดีที่สุด

สามตัวนี้ต่างกันอย่างไร

แต่ละตัววัดคนละเรื่อง สรุปได้ดังนี้:

• CVSS: คะแนน 0 ถึง 10 บอกความรุนแรง คำนวณจากลักษณะทางเทคนิคของช่องโหว่ ตอบคำถามว่า ถ้าถูกโจมตีจะร้ายแรงแค่ไหน ดูแลโดย FIRST (สมาคมทีมรับมือเหตุการณ์ด้านความปลอดภัยทั่วโลก) เวอร์ชันปัจจุบันคือ 4.0
• EPSS: ความน่าจะเป็น 0 ถึง 1 (0% ถึง 100%) ที่จะพบการโจมตีภายใน 30 วันข้างหน้า อัปเดตทุกวัน ตอบคำถามว่า ช่องโหว่นี้มีโอกาสถูกโจมตีเร็ว ๆ นี้แค่ไหน ดูแลโดยกลุ่มผู้สนใจเฉพาะด้าน (special interest group) ของ FIRST ส่วนคะแนนคำนวณโดย Empirical Security
• KEV: เป็นรายการ ไม่ใช่คะแนน ช่องโหว่ที่อยู่ในรายการมีหลักฐานเชื่อถือได้ว่าถูกโจมตีจริงแล้ว ตอบคำถามว่า ถูกนำไปโจมตีแล้วหรือยัง ดูแลโดย CISA

CVSS: วัดความรุนแรง ไม่ใช่ความเสี่ยง

CVSS เป็นกรอบมาตรฐานแบบเปิด ใช้อธิบายลักษณะและความรุนแรงของช่องโหว่ เวอร์ชัน 4.0 เผยแพร่เมื่อวันที่ 1 พฤศจิกายน 2023 และเป็นเวอร์ชันปัจจุบันบนเว็บไซต์ของ FIRST ณ ตุลาคม 2026 CVSS แบ่งตัววัด (metric) เป็นสี่กลุ่ม:

• Base (พื้นฐาน): ลักษณะของช่องโหว่ที่ไม่เปลี่ยนตามเวลาและไม่ต่างกันในแต่ละองค์กร โดยสมมติผลกระทบที่แย่ที่สุดเท่าที่สมเหตุสมผล
• Threat (สถานการณ์ภัยคุกคาม): ปรับตามสถานการณ์จริง เช่น มีโค้ดโจมตีสาธิต (proof-of-concept) เผยแพร่แล้วหรือไม่ หรือมีรายงานการโจมตีแล้วหรือไม่
• Environmental (สภาพแวดล้อม): ปรับให้เข้ากับระบบของผู้ใช้เอง เช่น ความสำคัญของระบบและมาตรการป้องกันที่มีอยู่
• Supplemental (ข้อมูลเสริม): ข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ เช่น ผลกระทบด้านความปลอดภัยของผู้คน (safety) โดยไม่เปลี่ยนคะแนนสุดท้าย

ชื่อของคะแนนบอกว่าคำนวณจากกลุ่มใดบ้าง ได้แก่ CVSS-B (ใช้เฉพาะ Base) CVSS-BT (ใช้ Base กับ Threat) CVSS-BE (ใช้ Base กับ Environmental) และ CVSS-BTE (ใช้ทั้งสามกลุ่ม) ข้อกำหนด (specification) ของ CVSS ระบุให้ใส่ตัวอักษร T หรือ E ในชื่อเฉพาะเมื่อใช้ตัววัดกลุ่มนั้นจริง FAQ (หน้าคำถามที่พบบ่อย) ของ EPSS ระบุว่าเมื่อคนพูดถึงคะแนน CVSS มักหมายถึงคะแนน Base

ข้อกำหนดมีป้ายระดับความรุนแรงให้ใช้ได้ตามต้องการ (ไม่บังคับ):

• ไม่มี (None): 0.0
• ต่ำ (Low): 0.1 ถึง 3.9
• ปานกลาง (Medium): 4.0 ถึง 6.9
• สูง (High): 7.0 ถึง 8.9
• วิกฤต (Critical): 9.0 ถึง 10.0

ป้ายเหล่านี้บอกระดับความรุนแรงเท่านั้น ไม่ใช่กำหนดเวลาแก้ไข และไม่ใช่ความเสี่ยงของระบบใดระบบหนึ่ง คะแนน Base สมมติผลกระทบที่แย่ที่สุดเท่าที่สมเหตุสมผลในทุกสภาพแวดล้อม จึงไม่รู้ว่าระบบขององค์กรเปิดสู่อินเทอร์เน็ตหรือไม่ และไม่รู้ว่ามีใครกำลังโจมตีช่องโหว่นั้นอยู่หรือเปล่า ข้อกำหนดของ FIRST แนะนำให้เพิ่มค่าของกลุ่ม Threat และ Environmental ที่ตรงกับระบบของตนลงในคะแนน Base FAQ ของ CVSS v4.0 ระบุว่าคะแนน Base ไม่ใช่ความเสี่ยง และไม่ควรใช้เพียงอย่างเดียวในการตัดสินลำดับการ patch (patch คือชุดอัปเดตที่ผู้ผลิตออกมาแก้ช่องโหว่)

EPSS: ความน่าจะเป็นที่จะถูกโจมตี

EPSS (Exploit Prediction Scoring System) เป็นแบบจำลองที่สร้างจากข้อมูลจริง ใช้ประเมินความน่าจะเป็นที่ช่องโหว่ซึ่งเปิดเผยต่อสาธารณะแล้ว (มีเลข CVE คือรหัสประจำตัวของช่องโหว่ที่ใช้อ้างอิงร่วมกันทั่วโลก) จะถูกโจมตีจริงภายใน 30 วันข้างหน้า EPSS ให้คะแนน 0 ถึง 1 กับทุก CVE และอัปเดตทุกวัน คะแนนเผยแพร่ฟรีทั้งแบบไฟล์ CSV (ไฟล์ตารางข้อมูลแบบข้อความ) และ API โดยไม่ต้องลงทะเบียน

EPSS ให้ตัวเลขสองแบบ ความน่าจะเป็น (probability) เป็นตัวเลขตรง ๆ เช่น ในกลุ่มช่องโหว่ที่ได้คะแนนใกล้ 0.05 คาดว่าจะพบการโจมตีประมาณ 5 ใน 100 รายการภายใน 30 วัน ส่วนเปอร์เซ็นไทล์ (percentile) เป็นอันดับเมื่อเทียบกับช่องโหว่อื่น เช่น เปอร์เซ็นไทล์ที่ 90 หมายถึงมีคะแนนสูงกว่าช่องโหว่ 90% ของทั้งหมดที่มีคะแนน

ช่องโหว่ส่วนใหญ่ไม่เคยถูกโจมตี คะแนน EPSS จึงกระจุกตัวใกล้ศูนย์ FAQ ของ EPSS ระบุว่า ในช่วง 30 วันจะพบการโจมตีประมาณ 2.5 ถึง 3% ของ CVE ที่เผยแพร่ทั้งหมด และ KEV มีประมาณ 0.5% ของ CVE ที่เผยแพร่ คะแนน 5% จึงฟังดูต่ำ แต่สูงกว่าอัตราเฉลี่ยทั่วไป (base rate) และ FAQ จัดให้อยู่ใน 10% สูงสุดของช่องโหว่ทั้งหมด ตัวเลขเหล่านี้เป็นค่าโดยประมาณตามที่ FAQ ระบุ ณ ตุลาคม 2026 และอาจเปลี่ยนได้

EPSS มีข้อจำกัดที่ควรรู้:

• ไม่ใช่คะแนนความเสี่ยง: EPSS บอกเฉพาะโอกาสถูกโจมตี ไม่ประเมินผลกระทบ ไม่รู้ว่าองค์กรมีระบบอะไร และไม่นับมาตรการป้องกันที่มีอยู่
• วัดจากการโจมตีที่พันธมิตรผู้ให้ข้อมูลสังเกตเห็น: นับความพยายามโจมตีที่ตรวจพบจากข้อมูลมัลแวร์บนเครื่องผู้ใช้ ระบบล่อ (honeypot คือระบบที่หลอกให้ผู้โจมตีเข้ามา) ระบบตรวจจับการบุกรุก (IDS/IPS) และข้อมูลข่าวกรองภัยคุกคาม (threat intelligence) ไม่ใช่การบุกรุกสำเร็จที่ยืนยันแล้ว และการโจมตีที่ไม่มีใครสังเกตเห็นจะไม่ถูกนับ
• เป็นการพยากรณ์ 30 วัน: คำนวณใหม่ทุกวัน คะแนนของ CVE เดิมจึงเปลี่ยนได้
• ห้ามคูณกับคะแนน CVSS: FIRST ระบุว่าผลคูณไม่มีความหมายที่ตีความได้
• ไม่มีเกณฑ์สากล: FIRST ระบุว่า 0.10 เป็นค่าที่มักถูกอ้างถึง แต่ไม่ได้มีอำนาจหรือน้ำหนักเป็นพิเศษ ให้เลือกเกณฑ์จากกำลังที่ทีมแก้ไขได้จริงและระดับความเสี่ยงที่ยอมรับได้

KEV: หลักฐานว่าถูกโจมตีจริงแล้ว

KEV คือรายการช่องโหว่ที่ถูกโจมตีจริง CISA เป็นผู้จัดทำและดูแล CISA จะเพิ่มช่องโหว่เข้ารายการเมื่อตรงเงื่อนไขสามข้อพร้อมกัน คือ มีเลข CVE มีหลักฐานเชื่อถือได้ว่าถูกโจมตีจริง และมีวิธีแก้ไขที่ชัดเจน เช่น ชุดอัปเดตจากผู้ผลิต

รายการนี้เผยแพร่เป็นไฟล์ CSV และ JSON ให้ดาวน์โหลดฟรี ไฟล์ JSON ที่ CISA เผยแพร่เมื่อ 21 ตุลาคม 2026 มี 1,754 รายการ แต่ละรายการมีวันที่เพิ่ม วันครบกำหนด (due date) การดำเนินการที่ต้องทำ และช่องข้อมูลบอกว่าเคยถูกใช้ในแคมเปญ ransomware (มัลแวร์เรียกค่าไถ่) หรือไม่ ตัวเลข 1,754 เป็นค่า ณ วันนั้นและจะเพิ่มขึ้นเมื่อมีรายการใหม่ ส่วนวันครบกำหนดตั้งขึ้นสำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ

คำสั่งเบื้องหลังรายการนี้เปลี่ยนไปแล้ว BOD 22-01 (BOD ย่อมาจาก Binding Operational Directive คือคำสั่งบังคับที่ออกให้หน่วยงานรัฐบาลกลางสหรัฐฯ) ซึ่งเป็นคำสั่งที่ตั้ง KEV ขึ้นมา ถูกยกเลิกเมื่อ 10 มิถุนายน 2026 และแทนที่ด้วย BOD 26-04 BOD 26-04 คงเกณฑ์ของ KEV ไว้ และให้หน่วยงานรัฐบาลกลางแก้ไขตามกำหนดเวลาที่ผูกกับหลายปัจจัย แม้คำสั่งนี้ไม่มีผลบังคับกับองค์กรอื่น CISA ก็แนะนำอย่างยิ่งให้ทุกองค์กรตรวจรายการ KEV สม่ำเสมอ และใช้เป็นข้อมูลหนึ่งในกรอบจัดลำดับการจัดการช่องโหว่ (prioritization framework) ขององค์กรเอง

KEV มีข้อจำกัดเช่นกัน:

• เป็นบันทึกอดีต ไม่ใช่การพยากรณ์: บอกว่าเคยมีการโจมตีจริง ไม่ได้บอกว่าจะมีการโจมตีอีกมากแค่ไหน
• เป็นหลักฐานว่าถูกโจมตีที่ไหนสักแห่ง ไม่ใช่ในเครือข่ายขององค์กร: ต้องตรวจเองว่าระบบขององค์กรมีช่องโหว่นั้นหรือไม่ บางรายการยังมีข้อกำหนดให้ตรวจหาร่องรอยการบุกรุกด้วย (forensic triage)
• ไม่ครอบคลุมทุกอย่าง: รายการต้องมีเลข CVE และวิธีแก้ที่ชัดเจน CISA ตั้งเป้าเพิ่มรายการภายใน 24 ชั่วโมง แต่บางครั้งใช้เวลานานกว่านั้น ส่วนช่องโหว่ที่ไม่มีเลข CVE เช่น ปัญหาการตั้งค่า องค์กรยังต้องติดตามเอง
• ความหมายจางลงตามเวลา: FIRST ระบุว่าการโจมตีล่าสุดเป็นสัญญาณที่แรง แต่ช่องโหว่ที่ถูกเพิ่มเข้า KEV มานานหลายปีและไม่มีหลักฐานว่ายังถูกโจมตีต่อเนื่อง โอกาสถูกโจมตีจะกลับไปใกล้ค่าที่ลักษณะของช่องโหว่คาดการณ์ไว้

ใช้ทั้งสามร่วมกันอย่างไร

ไม่มีสูตรเดียวที่เหมาะกับทุกองค์กร FIRST ให้หลักคร่าว ๆ ว่า ช่องโหว่ใดอยู่ใน KEV ให้ถือว่าถูกโจมตีจริงและจัดลำดับก่อน โดยไม่ต้องดูคะแนน EPSS ส่วนช่องโหว่อื่นซึ่งเป็นส่วนใหญ่ ให้ใช้ EPSS ช่วย FIRST ย้ำว่าคะแนน EPSS ต่ำบนช่องโหว่ใน KEV ไม่ใช่เรื่องขัดแย้งกัน เพราะ KEV คือบันทึกอดีต ส่วน EPSS คือการพยากรณ์

จากนั้นให้ดูบริบทขององค์กรเอง FIRST แนะนำให้ตรวจสามข้อ คือ ช่องโหว่นี้มีอยู่ในระบบจริงหรือไม่ (presence) ผู้โจมตีเข้าถึงได้หรือไม่ เช่น เข้าจากอินเทอร์เน็ตได้เลย หรือต้องล็อกอินก่อน (reachability) และถ้าระบบนั้นถูกโจมตี จะกระทบมากแค่ไหน (consequence) ถ้าข้อใดข้อหนึ่งไม่เป็นจริง ความเร่งด่วนจะลดลง ไม่ว่าคะแนน EPSS จะสูงเพียงใด กลุ่ม Environmental ของ CVSS ออกแบบมาเพื่อปรับคะแนนให้เข้ากับสภาพแวดล้อมของผู้ใช้ในแนวทางเดียวกัน

ตัวอย่างลำดับการตัดสินใจ (เป็นตัวอย่างประกอบ ไม่ใช่มาตรฐาน ปรับตามกำลังคนขององค์กร):

• ก่อนอื่น: ช่องโหว่ที่อยู่ใน KEV และมีอยู่ในระบบขององค์กร ให้ถือว่าถูกโจมตีจริงและลงมือทันที ทำตามคำแนะนำของรายการนั้น รวมถึงการตรวจหาร่องรอยการบุกรุกในกรณีที่กำหนดไว้
• ถัดมา: ช่องโหว่ที่ไม่อยู่ใน KEV แต่เข้าถึงได้จากอินเทอร์เน็ตหรืออยู่บนระบบสำคัญ และมีความน่าจะเป็นตาม EPSS สูงเมื่อเทียบกับเกณฑ์ที่องค์กรกำหนดเอง
• จากนั้น: ช่องโหว่ที่เหลือซึ่งมีความรุนแรง CVSS สูง ให้จัดตามรอบ patch ปกติ โดยใช้ความรุนแรงช่วยตัดสินเมื่อปัจจัยอื่นเท่ากัน
• สุดท้าย: ช่องโหว่ที่ต่ำในทุกด้าน ให้แก้ตามรอบปกติ และตรวจซ้ำเป็นระยะ เพราะ EPSS และ KEV เปลี่ยนทุกวัน

ลองดูตัวอย่างสมมติ (ตัวเลขทั้งหมดเป็นตัวเลขสมมติ ไม่ใช่ CVE จริง) ช่องโหว่ X มี CVSS-B 9.8 และ EPSS 0.01 ไม่อยู่ใน KEV และอยู่บนเซิร์ฟเวอร์ทดสอบภายในองค์กร ช่องโหว่ Y มี CVSS-B 7.5 อยู่ใน KEV และอยู่บนเกตเวย์ VPN (จุดรับการเชื่อมต่อระยะไกลแบบปลอดภัยเข้าสู่เครือข่าย) ที่เปิดสู่อินเทอร์เน็ต ตามลำดับข้างต้นต้องแก้ Y ก่อน แม้คะแนน CVSS ของ X จะสูงกว่า เพราะ Y ถูกโจมตีจริงแล้วและผู้โจมตีเข้าถึงได้โดยตรง ไม่ว่า EPSS ของ Y จะเป็นเท่าใด ส่วน X จัดตามรอบปกติ และตรวจดูซ้ำเมื่อ EPSS หรือสถานะ KEV เปลี่ยน การดูแลเกตเวย์ VPN ดู ZTNA กับ VPN: เลือกแบบไหนให้เหมาะกับองค์กร

SSVC (Stakeholder-Specific Vulnerability Categorization) ของ CISA คือวิธีจัดกลุ่มช่องโหว่ตามบริบทของผู้ใช้แต่ละราย เป็นอีกวิธีหนึ่งที่จัดลำดับอย่างเป็นระบบ โดยใช้แผนผังการตัดสินใจ (decision tree) จากห้าปัจจัย คือ สถานะการถูกโจมตี ผลกระทบทางเทคนิค การโจมตีแบบอัตโนมัติ ความแพร่หลายของระบบในภารกิจขององค์กร และผลต่อความเป็นอยู่ของประชาชน ผลลัพธ์มีตั้งแต่ Track (ติดตามและแก้ตามรอบปกติ) ถึง Act (แก้โดยเร็วที่สุด และผู้บริหารต้องเข้ามาเกี่ยวข้อง) ส่วน BOD 26-04 ใช้สี่ปัจจัย คือ การเปิดสู่สาธารณะ สถานะ KEV การโจมตีแบบอัตโนมัติ และผลกระทบทางเทคนิค

ตัวเลขในบทความนี้ เช่น 0.05 0.10 9.8 7.5 และ 0.01 เป็นตัวอย่างประกอบ ไม่ใช่เกณฑ์ที่ควรนำไปใช้ตรง ๆ FIRST ระบุว่าไม่มีเกณฑ์ EPSS สากล ให้เลือกเกณฑ์ที่ทีมทำตามได้ต่อเนื่องและสอดคล้องกับระดับความเสี่ยงที่ยอมรับได้ ลำดับตัวอย่างข้างต้นจึงไม่ใส่ตัวเลขเกณฑ์ใดเลย

บทความคู่กัน โปรแกรม Vulnerability Management ที่ใช้ได้จริง อธิบายภาพรวมของโปรแกรม ตั้งแต่บัญชีสินทรัพย์ แผนรับมือ ไปจนถึงการวัดผล ส่วนการติดตั้ง patch ให้ทันเวลา ดู Patch Management: ทำอย่างไรให้ทันและไม่ทำระบบล่ม

ข้อผิดพลาดที่พบบ่อย

• ถือว่า CVSS ระดับ Critical แปลว่ากำลังถูกโจมตี: คะแนนบอกความรุนแรงทางเทคนิค ไม่ได้บอกว่ามีใครโจมตีอยู่
• แก้ตามลำดับคะแนน CVSS อย่างเดียว: FIRST ระบุว่าคะแนน Base ไม่ใช่ความเสี่ยง
• เอา EPSS คูณกับ CVSS เพื่อให้ได้คะแนนรวม: FIRST เรียกว่าการใช้สถิติผิดวิธี ผลคูณไม่มีความหมายที่ตีความได้
• คิดว่าคะแนน EPSS ต่ำแปลว่าปลอดภัย: FAQ ของ EPSS ชี้ว่าคะแนน 5% ในช่องโหว่จำนวนมาก หมายถึงคาดว่าจะพบการโจมตีประมาณ 1 ใน 20 รายการ
• คิดว่าช่องโหว่ที่ไม่อยู่ใน KEV แปลว่าไม่มีใครโจมตี: KEV ครอบคลุมเฉพาะช่องโหว่ที่ CISA มีหลักฐานและมีวิธีแก้ที่ชัดเจน
• ใช้วันครบกำหนดของ KEV เป็นกำหนดเวลาของตนเองโดยไม่ได้ตัดสินใจเอง: วันนั้นตั้งไว้สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ และคำสั่งเบื้องหลังเปลี่ยนเมื่อ 10 มิถุนายน 2026

ขั้นแรกที่ทำได้ทันที

• ตรวจว่าเครื่องมือสแกนแสดงคะแนนแบบใด: เป็น CVSS-B (Base อย่างเดียว) หรือมีตัววัด Threat และ Environmental ด้วย และเป็นเวอร์ชันใด
• ดาวน์โหลดรายการ KEV แล้วเทียบกับรายการช่องโหว่ขององค์กร: รายการที่ตรงกันให้แก้ก่อน
• เพิ่มคะแนน EPSS เป็นอีกหนึ่งคอลัมน์: ดาวน์โหลดไฟล์ CSV รายวันได้ฟรี หรือเรียกผ่าน API
• ระบุบริบทของแต่ละรายการที่สแกนพบ: เข้าถึงได้จากอินเทอร์เน็ตหรือไม่ และระบบนั้นสำคัญแค่ไหน
• เขียนกติกาจัดลำดับความยาวหนึ่งหน้า: ใช้สัญญาณใดบ้าง ตามลำดับใด และเกณฑ์ตัวเลขใดที่องค์กรเป็นผู้ตัดสินใจเอง
• ทบทวนทุกเดือน: ดูว่ากติกานี้สร้างงานในปริมาณที่ทีมรับไหวหรือไม่ แล้วปรับเกณฑ์ FIRST แนะนำให้เลือกเกณฑ์ที่ทีมทำตามได้ต่อเนื่อง

หากต้องการทราบว่าการจัดการช่องโหว่ขององค์กรอยู่ในระดับใด ลองใช้ แบบประเมินตนเอง

ข้อมูลว่าช่องโหว่ใดถูกโจมตีจริงเป็นข่าวกรองภัยคุกคามรูปแบบหนึ่ง ดู Cyber Threat Intelligence (CTI) สำหรับมือใหม่

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• FIRST CVSS v4.0 Specification Document: ตัววัดสี่กลุ่ม ชื่อคะแนน และป้ายระดับความรุนแรง (เอกสารฉบับ 1.2)
• FIRST CVSS v4.0 FAQ: คะแนน Base ไม่ใช่ความเสี่ยง และความเห็นต่อ BOD 26-04
• FIRST EPSS: ภาพรวมและการเข้าถึงข้อมูล
• FIRST EPSS FAQ: ความน่าจะเป็นกับเปอร์เซ็นไทล์ ข้อจำกัด และเรื่องเกณฑ์
• FIRST EPSS: Using EPSS: การใช้ร่วมกับ KEV และการตรวจสามข้อ คือ presence, reachability และ consequence
• FIRST EPSS: How It Works: ข้อมูลที่ใช้และสิ่งที่นับเป็นการโจมตี
• CISA Known Exploited Vulnerabilities Catalog: รายการ KEV เกณฑ์การเพิ่มรายการ และไฟล์ CSV กับ JSON
• CISA BOD 26-04: Prioritizing Security Updates Based on Risk: คำสั่งที่แทน BOD 22-01 เมื่อมิถุนายน 2026
• CISA SSVC: แผนผังการตัดสินใจจากห้าปัจจัย