基本的に使っているならパッチを当てとく，というのが基本姿勢だと思うけど，そうもいえない事情もあったりするのだろうか．

米政府、中国関与のサイバー攻撃者が悪用する脆弱性のリストを公開 - 国内製品も
https://www.security-next.com/140355/

CVE-2021-44228（Apache Log4j）
CVE-2019-11510（Pulse Connect Secure）
CVE-2021-22205（GitLab）
CVE-2022-26134（Atlassian Confluence）
CVE-2021-26855（Microsoft Exchange Server）
CVE-2020-5902（F5 Big-IP）
CVE-2021-22005（VMware vCenter Server）
CVE-2019-19781（Citrix ADC、Citrix Gateway、Citrix SD-WAN WANOP）
CVE-2021-1497（Cisco Hyperflex Hx Data Platform）
CVE-2021-20090（Arcadyan）
CVE-2021-26084（Atlassian Confluence Server and Data Center）
CVE-2021-36260（Hikvision Webserver）
CVE-2021-42237（Sitecore XP）
CVE-2022-1388（F5 Big-IP）
CVE-2022-24112（Apache APISIX）
CVE-2021-40539（Zoho ManageEngine ADSelfService Plus）
CVE-2021-26857（Microsoft Exchange Server）
CVE-2021-26858（Microsoft Exchange Server）
CVE-2021-27065（Microsoft Exchange Server）
CVE-2021-41773（Apache HTTP Server）

　Apache HTTP ServerやF5 Big-Iはエッジなので狙われやすいし，Microsoft Exchange ServerやAtlassian Confluenceは大企業で利用って感じかな．