CISA KEV: Known Exploited Vulnerabilities -luettelo

Mikä on CISA:n KEV-luettelo?

Known Exploited Vulnerabilities (KEV) -luetteloa ylläpitää Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto CISA (Cybersecurity and Infrastructure Security Agency). CISA kutsuu sitä arvovaltaiseksi lähteeksi haavoittuvuuksista, joita on hyödynnetty todellisissa hyökkäyksissä, ja kehottaa painokkaasti kaikkia organisaatioita priorisoimaan niiden korjaamisen.

CISA perusti luettelon marraskuussa 2021 sitovan toimintadirektiivin (Binding Operational Directive) 22-01 yhteydessä. Luettelon 24.9.2026 julkaistussa versiossa on 1 723 haavoittuvuutta. Se on pieni osa kaikista julkaistuista CVE:istä, ja juuri siksi se on hyödyllinen: KEV-merkintä ei ole ennuste eikä vakavuusluokitus vaan tallenne hyödyntämisestä.

Miten haavoittuvuus lisätään luetteloon

CISA lisää haavoittuvuuden, kun se täyttää kolme ehtoa:

Sillä on CVE-tunniste.
Sitä hyödynnetään aktiivisesti, ja on luotettavaa näyttöä siitä, että sitä on hyödynnetty tai hyödynnetään.
Selkeä korjausohje on olemassa, eli asianomaisille organisaatioille on selvä toimenpide, kuten toimittajan päivitys.

Kolmannella ehdolla on käytännössä merkitystä: haavoittuvuutta voidaan hyödyntää jonkin aikaa ennen kuin se ilmestyy KEV:iin, koska korjausta, johon viitata, ei ollut. Kuka tahansa voi ehdottaa haavoittuvuutta lomakkeella, johon on linkki CISA:n KEV-sivulta.

Mitä kukin KEV-merkintä sisältää

Kenttä	Sisältö
`cveID`	CVE-tunniste
`vendorProject`, `product`	Kuka haavoittuvan ohjelmiston tekee ja mikä tuote on kyseessä
`vulnerabilityName`, `shortDescription`	Nimi ja lyhyt kuvaus
`dateAdded`, `dueDate`	Milloin CISA lisäsi sen ja mihin mennessä Yhdysvaltain liittovaltion virastojen on korjattava se
`requiredAction`	Mitä on tehtävä, yleensä asennettava toimittajan päivitykset tai lievennykset tai lopetettava käyttö
`knownRansomwareCampaignUse`	"Known", jos sitä on käytetty kiristyshaittaohjelmakampanjassa, muuten "Unknown"
`forensicTriage`	"Yes", jos BOD 26-04 edellyttää sille forensista triagea
`notes`, `cwes`	Viitteet ja heikkoustyypit

Tällä hetkellä 361 merkintää on merkitty kiristyshaittaohjelmakampanjoissa käytetyiksi. Jos joudut asettamaan KEV:n sisällä järjestykseen, ne tulevat ensin.

BOD 26-04: KEV-määräajat liittovaltion virastoille

Yhdysvaltain liittovaltion siviilihallinnon virastoille KEV ei ole neuvo. Sitova toimintadirektiivi 26-04, joka annettiin 10.6.2026, määrää, kuinka nopeasti niiden on korjattava haavoittuvuudet. Se kumosi BOD 22-01:n, joka oli antanut kaksi viikkoa useimmille KEV-merkinnöille ja kuusi kuukautta ennen vuotta 2021 annetuille CVE:ille, sekä BOD 19-02:n. Ehdot haavoittuvuuden lisäämiselle KEV:iin eivät muuttuneet.

BOD 26-04 määrittää kunkin määräajan neljän kysymyksen perusteella, joiden pohjana on CISA:n SSVC-päätösmalli:

Julkinen altistus: onko kohteeseen pääsy julkisista verkoista?
KEV-tila: onko haavoittuvuus luettelossa?
Hyödyntämisen automatisointi: voiko hyökkääjä automatisoida hyödyntämisen?
Tekninen vaikutus: antaako hyödyntäminen osittaisen vai täyden hallinnan?

Vastauksista seuraa määräaikoja 3 päivästä, jolloin on tehtävä myös forensinen triage sen selvittämiseksi, onko järjestelmä jo vaarantunut, korjaamiseen seuraavan järjestelmäpäivityksen yhteydessä. Direktiivi ei koske liittovaltion ulkopuolisia yrityksiä, ellei sopimus niin edellytä. Silti se on hyödyllinen vertailukohta omalle käytännöllesi.

Miten käytät KEV:iä, jos rakennat ohjelmistoja

Useimmat KEV-merkinnät koskevat suurten toimittajien tuotteita: pelkästään Microsoftin osuus on 388, ja seuraavina tulevat Cisco, Apple, Adobe ja Google. Myös avoin lähdekoodi on mukana, ja silloin se on muiden tuotteiden sisällä. Log4Shell (CVE-2021-44228) on esimerkki, jonka kaikki muistavat.

Build-putket eivät ole poikkeus. Vaarantuneet GitHub Actionsit tj-actions/changed-files (CVE-2025-30066) ja reviewdog/action-setup (CVE-2025-30154) ovat molemmat luettelossa: tunnetusti hyödynnetty haavoittuvuus voi olla tuotteesi buildaavassa työnkulussa, ei vain itse tuotteessa.

Vertaa KEV:iä siihen, mitä toimitat, äläkä siihen, mitä repositoriosi ilmoittavat. Transitiivisesti mukaan tullut tai build-skriptin lataama haavoittuva kirjasto on silti tuotteessa.
Käsittele osumaa poikkeamana, älä backlogin tehtävänä. Korjaa se tai lievennä sitä ja kirjaa perustelu.
Tarkista altistusjaksosi. Missä julkaisuissa haavoittuva versio oli mukana ja mistä lähtien? Sitä asiakkaat kysyvät.
Pidä silmällä raportointiaikaa. EU:n kyberkestävyyssäädöksen (Cyber Resilience Act) mukaan tuotteessa oleva aktiivisesti hyödynnetty haavoittuvuus käynnistää valmistajalle 24 tunnin ennakkovaroitusvelvoitteen.
Aseta kaikki muu järjestykseen EPSS:n ja CVSS:n avulla. Haavoittuvuuksien priorisointi kuvaa menetelmän.

Mistä saat KEV-datan

CISA: luettelosivu sekä CSV-, JSON- ja JSON-skeematiedostot.
GitHub: cisagov/kev-data peilaa datatiedostot ja päivittyy luettelon mukana.
Sähköposti: CISA tarjoaa tilauksen luettelon päivityksistä.
Omat työkalusi: monet skannerit ja haavoittuvuuksien hallinta-alustat merkitsevät KEV-merkinnät, muun muassa Grype, Tenable, Qualys ja Rapid7.

Miten CRACI auttaa

KEV kertoo, mitä haavoittuvuuksia hyödynnetään. CRACI kertoo, missä ne ovat. Se ajaa GitHub Actions -jobisi ja tallentaa paketit, jotka kukin jobi todella haki, mukaan lukien transitiiviset riippuvuudet, välimuistissa olevat paketit ja piilevät riippuvuudet, joita mikään lukitustiedosto ei listaa, ja arvioi valvotut SBOM:t jatkuvasti uudelleen.

Mitkä buildit ovat alttiina. Buildihistoria näyttää, mitkä aiemmat buildit sisälsivät haavoittuvan riippuvuuden suorana tai transitiivisena, joten tiedät altistusjakson.
Kuka sen korjaa. Tietoturvatiimit luokittelevat ja priorisoivat löydökset ja ohjaavat kunkin korjauksesta vastaavalle tiimille.
Estä sen päätyminen uudelleen tuotantoon. Käytäntöportit voivat estää buildin, joka sisältää tietyn CVE:n.
Raportoi se. CRA:n alaisista aktiivisesti hyödynnetyistä haavoittuvuuksista CRACI valmistelee ilmoitusten sisällön, ja valmistajan edustaja lähettää ne keskitetyn raportointialustan (Single Reporting Platform) kautta.

CISA KEV: usein kysytyt kysymykset

Mikä on CISA KEV?

Known Exploited Vulnerabilities (KEV) -luettelo on CISA:n lista haavoittuvuuksista, joita on hyödynnetty todellisissa hyökkäyksissä. CISA kutsuu sitä hyödynnettyjen haavoittuvuuksien arvovaltaiseksi lähteeksi ja kehottaa jokaista organisaatiota priorisoimaan niiden korjaamisen.

Montako haavoittuvuutta KEV-luettelossa on?

Luettelon 24.9.2026 julkaistussa versiossa 1 723 satojentuhansien julkaistujen CVE:iden joukosta. Niistä 361 on merkitty tunnetusti kiristyshaittaohjelmakampanjoissa käytetyiksi.

Milloin haavoittuvuus lisätään KEV:iin?

Kolme ehtoa: sillä on CVE-tunniste, on luotettavaa näyttöä siitä, että sitä on hyödynnetty tai hyödynnetään, ja selkeä korjausohje, kuten toimittajan päivitys, on olemassa.

Onko yksityisten yritysten noudatettava KEV:n määräaikoja?

Ei. Määräajat sitovat Yhdysvaltain liittovaltion siviilihallinnon virastoja sitovan toimintadirektiivin 26-04 nojalla. Kaikki muut voivat käyttää luetteloa priorisoinnin signaalina, ja monet asiakkaat ja auditoijat odottavat sitä.

Mikä korvasi BOD 22-01:n?

BOD 26-04, joka annettiin 10.6.2026, kumosi BOD 22-01:n ja BOD 19-02:n. KEV-merkintöjen kiinteän kahden viikon sijaan se asettaa määräajat 3 päivästä seuraavaan järjestelmäpäivitykseen KEV-tilan, julkisen altistuksen, hyödyntämisen automatisoitavuuden ja teknisen vaikutuksen perusteella.

Mitä eroa on KEV:llä ja EPSS:llä?

KEV kirjaa haavoittuvuudet, joita jo hyödynnetään. EPSS arvioi todennäköisyyden, että mitä tahansa julkaistua CVE:tä hyödynnetään seuraavan 30 päivän aikana. Käytä ensin KEV:iä ja aseta kaikki muu järjestykseen EPSS:llä.