CISA KEV: katalog Known Exploited Vulnerabilities

Co je katalog CISA KEV?

Katalog Known Exploited Vulnerabilities (KEV) spravuje americká agentura Cybersecurity and Infrastructure Security Agency (CISA). CISA ho označuje za autoritativní zdroj zranitelností, které byly zneužity ve skutečných útocích, a důrazně doporučuje všem organizacím, aby jejich nápravě daly přednost.

CISA katalog založila v listopadu 2021 spolu se závaznou provozní směrnicí Binding Operational Directive 22-01. Ve verzi katalogu z 24. září 2026 obsahuje 1 723 zranitelností. To je nepatrný zlomek všech zveřejněných CVE, a právě proto je užitečný: záznam v KEV není předpověď ani hodnocení závažnosti, ale záznam o zneužití.

Jak se zranitelnost do katalogu dostane

CISA zranitelnost přidá, pokud splňuje tři kritéria:

1. Má identifikátor CVE.
2. Je aktivně zneužívaná, existují spolehlivé důkazy, že byla nebo je zneužívána.
3. Existují jasné pokyny k nápravě, tedy jasný krok pro dotčené organizace, například aktualizace od dodavatele.

Třetí kritérium má v praxi význam: zranitelnost může být nějakou dobu zneužívána, než se v KEV objeví, protože neexistovala oprava, na kterou by šlo odkázat. Zranitelnost může navrhnout kdokoli prostřednictvím formuláře, na který odkazuje stránka KEV na webu CISA.

Co obsahuje každý záznam v KEV

Pole	Co obsahuje
cveID	Identifikátor CVE
vendorProject, product	Kdo dotčený software vyrábí a o jaký produkt jde
vulnerabilityName, shortDescription	Název a krátký popis
dateAdded, dueDate	Kdy ji CISA přidala a lhůta k nápravě pro americké federální úřady
requiredAction	Co udělat, obvykle nasadit aktualizace nebo zmírňující opatření dodavatele, případně přestat produkt používat
knownRansomwareCampaignUse	„Known“, pokud byla použita v ransomwarové kampani, jinak „Unknown“
forensicTriage	„Yes“, pokud pro ni BOD 26-04 vyžaduje forenzní triáž
notes, cwes	Odkazy a typy slabin

361 záznamů je v současnosti označeno jako použité v ransomwarových kampaních. Pokud musíte stanovit pořadí v rámci KEV, jdou na řadu jako první.

BOD 26-04: lhůty KEV pro federální úřady

Pro civilní federální úřady výkonné moci USA není KEV jen doporučením. Závazná provozní směrnice Binding Operational Directive 26-04, vydaná 10. června 2026, stanoví, jak rychle musí zranitelnosti napravit. Zrušila BOD 22-01, která dávala na většinu záznamů v KEV dva týdny a na CVE přidělené před rokem 2021 šest měsíců, a také BOD 19-02. Kritéria pro přidání zranitelnosti do KEV se nezměnila.

BOD 26-04 určuje každou lhůtu podle čtyř otázek, vycházejících z rozhodovacího modelu SSVC od CISA:

• Veřejná dostupnost: je aktivum dosažitelné z veřejných sítí?
• Status v KEV: je zranitelnost v katalogu?
• Automatizace zneužití: může útočník zneužití automatizovat?
• Technický dopad: dává zneužití částečnou, nebo úplnou kontrolu?

Z odpovědí vyplývají lhůty od 3 dnů, s forenzní triáží, která ověří, zda systém už nebyl kompromitován, až po opravu při příští aktualizaci systému. Směrnice se nevztahuje na firmy mimo federální vládu, pokud to nestanoví smlouva. Přesto je užitečným měřítkem pro vaši vlastní politiku.

Jak KEV využít, pokud vyvíjíte software

Většina záznamů v KEV se týká produktů velkých dodavatelů: jen na Microsoft připadá 388, následují Cisco, Apple, Adobe a Google. Objevuje se i open source, a když už, pak uvnitř produktů jiných firem. Log4Shell (CVE-2021-44228) je příklad, který si pamatuje každý.

Ani build pipeline nejsou výjimkou. Kompromitované GitHub Actions tj-actions/changed-files (CVE-2025-30066) a reviewdog/action-setup (CVE-2025-30154) jsou obě v katalogu: známá zneužívaná zranitelnost se může skrývat ve workflow, které váš produkt sestavuje, nejen v produktu samotném.

1. Porovnávejte KEV s tím, co dodáváte, ne s tím, co deklarují vaše repozitáře. Zranitelná knihovna stažená tranzitivně nebo build skriptem je v produktu stejně.
2. Berte shodu jako incident, ne jako položku backlogu. Opravte ji, nebo ji zmírněte a zaznamenejte proč.
3. Zjistěte dobu vystavení. Která vydání obsahovala zranitelnou verzi a odkdy? Na to se ptají zákazníci.
4. Hlídejte ohlašovací lhůty. Podle EU Cyber Resilience Act vzniká výrobci u aktivně zneužívané zranitelnosti v produktu povinnost podat do 24 hodin včasné varování.
5. Vše ostatní seřaďte pomocí EPSS a CVSS. Metodu popisuje stránka prioritizace zranitelností.

Jak získat data KEV

• CISA: stránka katalogu a k ní CSV, JSON a schéma JSON.
• GitHub: cisagov/kev-data zrcadlí datové soubory a aktualizuje se spolu s katalogem.
• E-mail: CISA nabízí odběr aktualizací katalogu.
• Vaše nástroje: záznamy KEV označuje řada skenerů a platforem pro správu zranitelností, mimo jiné Grype, Tenable, Qualys a Rapid7.

Jak CRACI pomáhá

KEV vám řekne, které zranitelnosti jsou zneužívány. CRACI vám řekne, kde se nacházejí. Spouští vaše joby v GitHub Actions a zaznamenává balíčky, které každý job skutečně stáhl, včetně tranzitivních závislostí, balíčků z cache a skrytých závislostí, které žádný lockfile neuvádí, a monitorované SBOM průběžně znovu vyhodnocuje.

• Kterých buildů se to týká. Historie buildů ukazuje, které dřívější buildy obsahovaly zranitelnou závislost, přímou i tranzitivní, takže znáte dobu vystavení.
• Kdo to opraví. Bezpečnostní týmy provádějí triáž nálezů a každý předají týmu, který za opravu odpovídá.
• Zabraňte opětovnému vydání. Kontrolní brány politik (policy gates) mohou zablokovat build, který obsahuje konkrétní CVE.
• Ohlaste to. U aktivně zneužívaných zranitelností podle CRA připravuje CRACI obsah oznámení a osoba na straně výrobce je podává prostřednictvím Single Reporting Platform (jednotné platformy pro podávání zpráv).

CISA KEV: časté dotazy

Co je CISA KEV?

Katalog Known Exploited Vulnerabilities (KEV) je seznam zranitelností, které byly podle CISA zneužity ve skutečných útocích. CISA ho označuje za autoritativní zdroj zneužívaných zranitelností a doporučuje každé organizaci, aby jejich nápravě dala přednost.

Kolik zranitelností katalog KEV obsahuje?

Ve verzi katalogu z 24. září 2026 je to 1 723 ze stovek tisíc zveřejněných CVE. 361 z nich je označeno jako prokazatelně použité v ransomwarových kampaních.

Kdy se zranitelnost do KEV dostane?

Musí splnit tři kritéria: má identifikátor CVE, existují spolehlivé důkazy, že byla nebo je zneužívána, a existují jasné pokyny k nápravě, například aktualizace od dodavatele.

Musí soukromé firmy dodržovat lhůty KEV?

Ne. Lhůty jsou podle závazné provozní směrnice Binding Operational Directive 26-04 závazné pro civilní federální úřady výkonné moci USA. Všichni ostatní mohou katalog používat jako signál pro stanovení priorit a mnoho zákazníků i auditorů to očekává.

Co nahradilo BOD 22-01?

BOD 26-04, vydaná 10. června 2026, zrušila BOD 22-01 a BOD 19-02. Místo pevných dvou týdnů pro záznamy v KEV stanoví lhůty od 3 dnů po příští aktualizaci systému, podle statusu v KEV, veřejné dostupnosti, možnosti zneužití automatizovat a technického dopadu.

Jaký je rozdíl mezi KEV a EPSS?

KEV zaznamenává zranitelnosti, které už jsou zneužívány. EPSS odhaduje pravděpodobnost, že bude kterákoli zveřejněná CVE zneužita v příštích 30 dnech. Začněte u KEV a vše ostatní seřaďte podle EPSS.