CISA KEV: kataloget over Known Exploited Vulnerabilities

Hvad er CISA KEV-kataloget?

Kataloget Known Exploited Vulnerabilities (KEV) vedligeholdes af den amerikanske Cybersecurity and Infrastructure Security Agency (CISA). CISA kalder det den autoritative kilde til sårbarheder, der er blevet udnyttet i praksis, og opfordrer kraftigt alle organisationer til at prioritere at afhjælpe dem.

CISA oprettede kataloget i november 2021 sammen med Binding Operational Directive 22-01. Ifølge katalogversionen fra 24. september 2026 indeholder det 1.723 sårbarheder. Det er en forsvindende lille andel af alle offentliggjorte CVE'er, og det er netop derfor, det er nyttigt: En KEV-post er ikke en forudsigelse eller en alvorlighedsvurdering, men en registrering af udnyttelse.

Sådan bliver en sårbarhed optaget

CISA optager en sårbarhed, når den opfylder tre kriterier:

1. Den har et CVE-id.
2. Den bliver aktivt udnyttet, med pålidelige beviser for, at den er blevet eller bliver udnyttet.
3. Der findes klar vejledning om afhjælpning, en klar handling for berørte organisationer, for eksempel en opdatering fra leverandøren.

Det tredje kriterium betyder noget i praksis: En sårbarhed kan blive udnyttet i et stykke tid, før den optræder i KEV, fordi der ikke var nogen rettelse at henvise til. Alle kan indstille en sårbarhed via en formular, der er linket fra CISA's KEV-side.

Hvad hver KEV-post indeholder

Felt	Hvad det indeholder
cveID	CVE-identifikatoren
vendorProject, product	Hvem der laver den berørte software, og hvilket produkt det er
vulnerabilityName, shortDescription	Et navn og en kort beskrivelse
dateAdded, dueDate	Hvornår CISA tilføjede den, og fristen for afhjælpning for amerikanske føderale myndigheder
requiredAction	Hvad der skal gøres, som regel at anvende leverandørens opdateringer eller afbødende foranstaltninger eller at stoppe brugen
knownRansomwareCampaignUse	"Known", hvis den er brugt i en ransomware-kampagne, ellers "Unknown"
forensicTriage	"Yes", hvis BOD 26-04 kræver forensisk triage for den
notes, cwes	Referencer og svaghedstyperne

361 poster er i øjeblikket markeret som brugt i ransomware-kampagner. Skal du rangere inden for KEV, kommer de først.

BOD 26-04: KEV-frister for føderale myndigheder

For amerikanske føderale civile myndigheder i den udøvende magt er KEV ikke et råd. Binding Operational Directive 26-04, udstedt den 10. juni 2026, fastsætter, hvor hurtigt de skal afhjælpe. Det ophævede BOD 22-01, som havde givet to uger for de fleste KEV-poster og seks måneder for CVE'er tildelt før 2021, og BOD 19-02. Kriterierne for at optage en sårbarhed i KEV blev ikke ændret.

BOD 26-04 fastsætter hver frist ud fra fire spørgsmål, baseret på CISA's beslutningsmodel SSVC:

• Offentligt eksponeret: Kan aktivet nås fra offentlige netværk?
• KEV-status: Er sårbarheden i kataloget?
• Automatisering af udnyttelse: Kan en angriber automatisere udnyttelsen?
• Teknisk konsekvens: Giver udnyttelse delvis eller total kontrol?

Svarene giver frister fra 3 dage, med forensisk triage for at tjekke, om systemet allerede var kompromitteret, til rettelse ved næste systemopgradering. Direktivet gælder ikke for virksomheder uden for den føderale regering, medmindre en kontrakt siger det. Alligevel er det et nyttigt pejlemærke for din egen politik.

Sådan bruger du KEV, hvis du bygger software

De fleste KEV-poster er i produkter fra store leverandører: Microsoft alene står for 388, efterfulgt af Cisco, Apple, Adobe og Google. Open source optræder også, og når det gør, er det inde i andres produkter. Log4Shell (CVE-2021-44228) er det eksempel, alle husker.

Build-pipelines går ikke fri. De kompromitterede GitHub Actions tj-actions/changed-files (CVE-2025-30066) og reviewdog/action-setup (CVE-2025-30154) er begge i kataloget: En kendt udnyttet sårbarhed kan sidde i det workflow, der bygger dit produkt, ikke kun i produktet.

1. Match KEV mod det, du leverer, ikke mod det, dine repositories deklarerer. Et sårbart bibliotek, der er trukket ind transitivt eller downloadet af et build-script, er stadig i produktet.
2. Behandl et match som en hændelse, ikke som et punkt i backloggen. Ret det, eller afbød det, og registrér hvorfor.
3. Tjek din eksponeringsperiode. Hvilke releases leverede den sårbare version, og siden hvornår? Det er det, kunderne spørger om.
4. Hold øje med rapporteringsuret. Efter EU's Cyber Resilience Act udløser en aktivt udnyttet sårbarhed i et produkt en pligt for producenten til at give en tidlig varsling inden for 24 timer.
5. Rangér alt andet med EPSS og CVSS. Prioritering af sårbarheder gennemgår metoden.

Sådan får du KEV-data

• CISA: katalogsiden plus CSV, JSON og et JSON-skema.
• GitHub: cisagov/kev-data spejler datafilerne og opdateres sammen med kataloget.
• E-mail: CISA tilbyder et abonnement på katalogopdateringer.
• Dine værktøjer: Mange scannere og platforme til sårbarhedsstyring markerer KEV-poster, blandt andre Grype, Tenable, Qualys og Rapid7.

Sådan hjælper CRACI

KEV fortæller dig, hvilke sårbarheder der bliver udnyttet. CRACI fortæller dig, hvor de er. Det kører dine GitHub Actions-jobs og registrerer de pakker, hvert job faktisk hentede, inklusive transitive afhængigheder, cachede pakker og skjulte afhængigheder, som ingen lockfile angiver, og genvurderer løbende overvågede SBOM'er.

• Hvilke builds der er berørt. Build-historikken viser, hvilke tidligere builds der indeholdt den sårbare afhængighed, direkte eller transitiv, så du kender eksponeringsperioden.
• Hvem der retter den. Sikkerhedsteams triagerer fund og sender hvert enkelt til det team, der ejer rettelsen.
• Stop den, så den ikke leveres igen. Policy-gates kan blokere et build, der indeholder en bestemt CVE.
• Rapportér den. For aktivt udnyttede sårbarheder under CRA indsender CRACI underretningerne til myndighederne på producentens vegne.

CISA KEV: ofte stillede spørgsmål

Hvad er CISA KEV?

Kataloget Known Exploited Vulnerabilities (KEV) er CISA's liste over sårbarheder, der er blevet udnyttet i praksis. CISA kalder det den autoritative kilde til udnyttede sårbarheder og opfordrer alle organisationer til at prioritere at afhjælpe dem.

Hvor mange sårbarheder er der i KEV-kataloget?

1.723 ifølge katalogversionen fra 24. september 2026, ud af hundredtusindvis af offentliggjorte CVE'er. 361 af dem er markeret som kendt for at være brugt i ransomware-kampagner.

Hvad får en sårbarhed optaget i KEV?

Tre kriterier: Den har et CVE-id, der er pålidelige beviser for, at den er blevet eller bliver udnyttet, og der findes klar vejledning om afhjælpning, for eksempel en opdatering fra leverandøren.

Skal private virksomheder følge KEV-fristerne?

Nej. Fristerne binder amerikanske føderale civile myndigheder i den udøvende magt under Binding Operational Directive 26-04. Alle andre kan bruge kataloget som et prioriteringssignal, og mange kunder og revisorer forventer det.

Hvad erstattede BOD 22-01?

BOD 26-04, udstedt den 10. juni 2026, ophævede BOD 22-01 og BOD 19-02. I stedet for faste to uger for KEV-poster fastsætter det frister fra 3 dage til næste systemopgradering, baseret på KEV-status, offentlig eksponering, om udnyttelse kan automatiseres, og den tekniske konsekvens.

Hvad er forskellen på KEV og EPSS?

KEV registrerer sårbarheder, der allerede bliver udnyttet. EPSS anslår sandsynligheden for, at en given offentliggjort CVE bliver udnyttet inden for de næste 30 dage. Brug KEV først og EPSS til at rangere alt andet.