CISA KEV: Known Exploited Vulnerabilities 카탈로그

CISA KEV 카탈로그란 무엇인가요?

Known Exploited Vulnerabilities(KEV, 알려진 악용 취약점) 카탈로그는 미국 사이버보안 및 인프라 보안국(CISA)이 관리합니다. CISA는 이를 실제 환경에서 악용된 취약점에 대한 권위 있는 출처라고 부르며, 모든 조직이 이 취약점의 해결을 우선하도록 강력히 권장합니다.

CISA는 2021년 11월 Binding Operational Directive 22-01과 함께 이 카탈로그를 만들었습니다. 2026년 9월 24일 카탈로그 버전 기준으로 1,723개의 취약점이 수록되어 있습니다. 공개된 전체 CVE에서 아주 작은 비중이며, 바로 그 점 때문에 유용합니다. KEV 항목은 예측이나 심각도 등급이 아니라 악용의 기록입니다.

취약점이 추가되는 기준

CISA는 다음 세 가지 기준을 충족하는 취약점을 추가합니다.

1. CVE ID가 있습니다.
2. 실제로 악용되고 있으며, 악용되었거나 악용되고 있다는 신뢰할 수 있는 증거가 있습니다.
3. 명확한 해결 지침이 있습니다. 공급업체 업데이트처럼 영향을 받는 조직이 취할 명확한 조치가 있어야 합니다.

세 번째 기준은 실무에서 중요합니다. 가리킬 수정 사항이 없어서, 취약점이 KEV에 나타나기 전에 한동안 악용될 수 있기 때문입니다. 누구나 CISA KEV 페이지에 연결된 양식으로 취약점 등재를 요청할 수 있습니다.

KEV 항목의 구성

필드	내용
cveID	CVE 식별자
vendorProject, product	영향을 받는 소프트웨어의 제조사와 제품
vulnerabilityName, shortDescription	이름과 간단한 설명
dateAdded, dueDate	CISA가 추가한 날짜와 미국 연방 기관의 해결 기한
requiredAction	취해야 할 조치. 대개 공급업체의 업데이트나 완화 조치 적용, 또는 사용 중단
knownRansomwareCampaignUse	랜섬웨어 캠페인에 사용된 적이 있으면 "Known", 그렇지 않으면 "Unknown"
forensicTriage	BOD 26-04가 포렌식 분류를 요구하면 "Yes"
notes, cwes	참고 자료와 약점 유형

현재 361개 항목이 랜섬웨어 캠페인에 사용된 것으로 표시되어 있습니다. KEV 안에서 순위를 매겨야 한다면 이 항목들이 먼저입니다.

BOD 26-04: 연방 기관의 KEV 기한

미국 연방 민간 행정부 기관에게 KEV는 권고가 아닙니다. 2026년 6월 10일 발령된 Binding Operational Directive 26-04는 얼마나 빨리 해결해야 하는지를 정합니다. 이 지침은 대부분의 KEV 항목에 2주, 2021년 이전에 할당된 CVE에 6개월의 기한을 주었던 BOD 22-01과 BOD 19-02를 폐지했습니다. KEV에 취약점을 추가하는 기준은 바뀌지 않았습니다.

BOD 26-04는 CISA의 SSVC 의사 결정 모델을 바탕으로 한 네 가지 질문으로 각 기한을 정합니다.

• 공개 노출: 공용 네트워크에서 자산에 접근할 수 있습니까?
• KEV 상태: 취약점이 카탈로그에 있습니까?
• 악용 자동화: 공격자가 악용을 자동화할 수 있습니까?
• 기술적 영향: 악용 시 부분적 또는 전체 제어권을 얻습니까?

답에 따라 기한은 3일(시스템이 이미 침해되었는지 확인하는 포렌식 분류 포함)부터 다음 시스템 업그레이드 시 수정까지 다양합니다. 이 지침은 계약에 명시되지 않는 한 연방 정부 밖의 기업에는 적용되지 않습니다. 그래도 자체 정책의 유용한 기준점이 됩니다.

소프트웨어를 빌드한다면 KEV를 활용하는 방법

대부분의 KEV 항목은 대형 공급업체의 제품에 있습니다. Microsoft만 388개를 차지하며, Cisco, Apple, Adobe, Google이 그 뒤를 잇습니다. 오픈 소스도 나타나며, 그 경우 다른 기업의 제품 안에 들어 있습니다. 누구나 기억하는 예가 Log4Shell (CVE-2021-44228)입니다.

빌드 파이프라인도 예외가 아닙니다. 침해된 GitHub Actions인 tj-actions/changed-files(CVE-2025-30066)와 reviewdog/action-setup(CVE-2025-30154)이 모두 카탈로그에 있습니다. 알려진 악용 취약점은 제품뿐 아니라 제품을 빌드하는 워크플로에도 있을 수 있습니다.

1. KEV를 출시하는 제품과 대조하세요. 리포지토리가 선언한 내용과 대조해서는 안 됩니다. 전이적으로 들어온 취약한 라이브러리나 빌드 스크립트가 내려받은 라이브러리도 제품 안에 있습니다.
2. 일치 항목은 백로그 항목이 아니라 사고로 다루세요. 수정하거나, 완화하고 그 이유를 기록하세요.
3. 노출 기간을 확인하세요. 어떤 릴리스가 언제부터 취약한 버전을 출시했습니까? 고객이 묻는 것이 바로 이것입니다.
4. 보고 시한을 주시하세요. EU Cyber Resilience Act에 따라 제품에 실제로 악용되는 취약점이 있으면 제조사에 24시간 조기 경보 의무가 발생합니다.
5. 나머지는 EPSS와 CVSS로 순위를 매기세요. 취약점 우선순위 지정에서 방법을 다룹니다.

KEV 데이터를 얻는 방법

• CISA: 카탈로그 페이지와 CSV, JSON, JSON 스키마.
• GitHub: cisagov/kev-data가 데이터 파일을 미러링하며 카탈로그가 업데이트되면 함께 업데이트됩니다.
• 이메일: CISA는 카탈로그 업데이트 구독을 제공합니다.
• 사용 중인 도구: Grype, Tenable, Qualys, Rapid7 등 많은 스캐너와 취약점 관리 플랫폼이 KEV 항목을 표시합니다.

CRACI가 돕는 방법

KEV는 어떤 취약점이 악용되는지 알려 줍니다. CRACI는 그 취약점이 어디에 있는지 알려 줍니다. CRACI는 GitHub Actions 작업을 실행하고, 전이적 종속성, 캐시된 패키지, 어떤 잠금 파일에도 나열되지 않는 숨은 종속성을 포함해 각 작업이 실제로 가져온 패키지를 기록하며, 모니터링 중인 SBOM을 지속적으로 재평가합니다.

• 영향을 받는 빌드. 빌드 이력은 과거 어떤 빌드에 직접 또는 전이적으로 취약한 종속성이 포함되었는지 보여 주므로 노출 기간을 알 수 있습니다.
• 수정 담당자. 보안 팀이 발견 사항을 분류하고 각각을 수정 책임이 있는 팀에 전달합니다.
• 재출시 방지. 정책 게이트로 특정 CVE가 포함된 빌드를 차단할 수 있습니다.
• 보고. CRA에 따른 실제 악용 취약점에 대해 CRACI가 통지의 내용을 준비하고, 제조사의 담당자가 Single Reporting Platform을 통해 제출합니다.

CISA KEV: 자주 묻는 질문

CISA KEV란 무엇인가요?

Known Exploited Vulnerabilities(KEV) 카탈로그는 실제 환경에서 악용된 취약점을 정리한 CISA의 목록입니다. CISA는 이를 악용된 취약점에 대한 권위 있는 출처라고 부르며, 모든 조직이 이 취약점의 해결을 우선하도록 권장합니다.

KEV 카탈로그에는 취약점이 몇 개 있나요?

2026년 9월 24일 카탈로그 버전 기준으로, 공개된 수십만 개의 CVE 중 1,723개입니다. 그중 361개가 랜섬웨어 캠페인에 사용된 것으로 알려져 표시되어 있습니다.

어떤 취약점이 KEV에 추가되나요?

세 가지 기준이 있습니다. CVE ID가 있어야 하고, 악용되었거나 악용되고 있다는 신뢰할 수 있는 증거가 있어야 하며, 공급업체 업데이트와 같은 명확한 해결 지침이 있어야 합니다.

민간 기업도 KEV 기한을 따라야 하나요?

아닙니다. 기한은 Binding Operational Directive 26-04에 따라 미국 연방 민간 행정부 기관을 구속합니다. 그 밖의 조직은 카탈로그를 우선순위 신호로 활용할 수 있으며, 많은 고객과 감사인이 이를 기대합니다.

BOD 22-01은 무엇으로 대체되었나요?

2026년 6월 10일 발령된 BOD 26-04가 BOD 22-01과 BOD 19-02를 폐지했습니다. KEV 항목에 고정된 2주를 주는 대신, KEV 상태, 공개 노출, 악용 자동화 가능 여부, 기술적 영향에 따라 3일부터 다음 시스템 업그레이드까지 기한을 정합니다.

KEV와 EPSS의 차이는 무엇인가요?

KEV는 이미 악용된 취약점을 기록합니다. EPSS는 공개된 CVE가 향후 30일 안에 악용될 확률을 추정합니다. KEV를 먼저 사용하고 나머지는 EPSS로 순위를 매기세요.