CISA KEV: de catalogus Known Exploited Vulnerabilities

Wat is de CISA KEV-catalogus?

De Known Exploited Vulnerabilities-catalogus (KEV) wordt onderhouden door de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA). CISA noemt hem de gezaghebbende bron van kwetsbaarheden die in het wild zijn misbruikt, en moedigt alle organisaties sterk aan om het verhelpen ervan voorrang te geven.

CISA heeft de catalogus in november 2021 opgezet, samen met Binding Operational Directive 22-01. Volgens de catalogusversie van 24 september 2026 bevat hij 1.723 kwetsbaarheden. Dat is een piepklein deel van alle gepubliceerde CVE's, en precies daarom is hij nuttig: een KEV-vermelding is geen voorspelling of ernstbeoordeling, maar een vastlegging van misbruik.

Hoe een kwetsbaarheid wordt toegevoegd

CISA voegt een kwetsbaarheid toe wanneer die aan drie criteria voldoet:

Ze heeft een CVE-ID.
Ze wordt actief misbruikt, met betrouwbaar bewijs dat ze is of wordt misbruikt.
Er is duidelijke herstelinformatie, een duidelijke actie voor getroffen organisaties, zoals een update van de leverancier.

Het derde criterium is in de praktijk van belang: een kwetsbaarheid kan een tijdlang worden misbruikt voordat ze in KEV verschijnt, omdat er geen fix was om naar te verwijzen. Iedereen kan een kwetsbaarheid voordragen via een formulier dat vanaf de KEV-pagina van CISA is gelinkt.

Wat elke KEV-vermelding bevat

Veld	Wat erin staat
`cveID`	De CVE-identifier
`vendorProject`, `product`	Wie de getroffen software maakt, en welk product
`vulnerabilityName`, `shortDescription`	Een naam en een korte beschrijving
`dateAdded`, `dueDate`	Wanneer CISA de kwetsbaarheid heeft toegevoegd, en de hersteltermijn voor Amerikaanse federale instanties
`requiredAction`	Wat er moet gebeuren, meestal de updates of mitigaties van de leverancier toepassen, of het gebruik staken
`knownRansomwareCampaignUse`	"Known" als de kwetsbaarheid in een ransomwarecampagne is gebruikt, anders "Unknown"
`forensicTriage`	"Yes" als BOD 26-04 er forensische triage voor vereist
`notes`, `cwes`	Verwijzingen en de soorten zwakheden

361 vermeldingen zijn momenteel gemarkeerd als gebruikt in ransomwarecampagnes. Moet u binnen KEV rangschikken, dan komen die eerst.

BOD 26-04: KEV-termijnen voor federale instanties

Voor civiele federale uitvoerende instanties in de VS is KEV geen advies. Binding Operational Directive 26-04, uitgevaardigd op 10 juni 2026, bepaalt hoe snel zij moeten herstellen. De richtlijn heeft BOD 22-01 ingetrokken, die twee weken gaf voor de meeste KEV-vermeldingen en zes maanden voor CVE's die vóór 2021 waren toegewezen, en ook BOD 19-02. De criteria om een kwetsbaarheid aan KEV toe te voegen zijn niet veranderd.

BOD 26-04 bepaalt elke termijn aan de hand van vier vragen, gebaseerd op het SSVC-beslismodel van CISA:

Publiek blootgesteld: is de asset bereikbaar vanaf openbare netwerken?
KEV-status: staat de kwetsbaarheid in de catalogus?
Automatisering van misbruik: kan een aanvaller het misbruik automatiseren?
Technische impact: geeft misbruik gedeeltelijke of volledige controle?

De antwoorden leveren termijnen op van 3 dagen, met forensische triage om te controleren of het systeem al was gecompromitteerd, tot herstel bij de volgende systeemupgrade. De richtlijn geldt niet voor bedrijven buiten de federale overheid, tenzij een contract dat bepaalt. Toch is ze een nuttige maatstaf voor uw eigen beleid.

Hoe u KEV gebruikt als u software bouwt

De meeste KEV-vermeldingen gaan over producten van grote leveranciers: Microsoft alleen is goed voor 388, gevolgd door Cisco, Apple, Adobe en Google. Open source komt ook voor, en dan zit het in de producten van anderen. Log4Shell (CVE-2021-44228) is het voorbeeld dat iedereen zich herinnert.

Buildpipelines vormen geen uitzondering. De gecompromitteerde GitHub Actions tj-actions/changed-files (CVE-2025-30066) en reviewdog/action-setup (CVE-2025-30154) staan allebei in de catalogus: een bekend misbruikte kwetsbaarheid kan in de workflow zitten die uw product bouwt, niet alleen in het product.

Vergelijk KEV met wat u levert, niet met wat uw repositories declareren. Een kwetsbare bibliotheek die transitief is binnengehaald of door een buildscript is gedownload, zit nog steeds in het product.
Behandel een match als incident, niet als backlogitem. Repareer hem, of mitigeer hem en leg vast waarom.
Controleer uw blootstellingsperiode. Welke releases bevatten de kwetsbare versie, en sinds wanneer? Dat is wat klanten vragen.
Let op de meldtermijn. Volgens de EU Cyber Resilience Act begint bij een actief misbruikte kwetsbaarheid in een product voor de fabrikant de verplichting tot een vroegtijdige waarschuwing binnen 24 uur.
Rangschik al het andere met EPSS en CVSS. Kwetsbaarheden prioriteren behandelt de methode.

Hoe u aan de KEV-gegevens komt

CISA: de cataloguspagina, plus CSV, JSON en een JSON-schema.
GitHub: cisagov/kev-data spiegelt de gegevensbestanden en wordt bijgewerkt wanneer de catalogus dat wordt.
E-mail: CISA biedt een abonnement op catalogusupdates.
Uw tools: veel scanners en platforms voor kwetsbaarheidsbeheer markeren KEV-vermeldingen, waaronder Grype, Tenable, Qualys en Rapid7.

Hoe CRACI helpt

KEV vertelt u welke kwetsbaarheden worden misbruikt. CRACI vertelt u waar ze zitten. Het draait uw GitHub Actions-jobs en legt de pakketten vast die elke job daadwerkelijk heeft opgehaald, inclusief transitieve afhankelijkheden, gecachete pakketten en verborgen afhankelijkheden die in geen enkele lockfile staan, en beoordeelt gemonitorde SBOM's doorlopend opnieuw.

Welke builds zijn getroffen. De buildhistorie toont welke eerdere builds de kwetsbare afhankelijkheid bevatten, direct of transitief, zodat u de blootstellingsperiode kent.
Wie het repareert. Securityteams triëren bevindingen en sturen elke bevinding naar het team dat verantwoordelijk is voor de fix.
Voorkom dat het opnieuw wordt geleverd. Policy gates kunnen een build blokkeren die een specifieke CVE bevat.
Meld het. Voor actief misbruikte kwetsbaarheden onder de CRA dient CRACI de meldingen namens de fabrikant in bij de autoriteiten.

CISA KEV: veelgestelde vragen

Wat is CISA KEV?

De Known Exploited Vulnerabilities-catalogus (KEV) is de lijst van CISA met kwetsbaarheden die in het wild zijn misbruikt. CISA noemt hem de gezaghebbende bron van misbruikte kwetsbaarheden en moedigt elke organisatie aan om het verhelpen ervan voorrang te geven.

Hoeveel kwetsbaarheden staan er in de KEV-catalogus?

1.723 volgens de catalogusversie van 24 september 2026, op de honderdduizenden gepubliceerde CVE's. 361 daarvan zijn gemarkeerd als bekend gebruikt in ransomwarecampagnes.

Wanneer wordt een kwetsbaarheid aan KEV toegevoegd?

Bij drie criteria: ze heeft een CVE-ID, er is betrouwbaar bewijs dat ze is of wordt misbruikt, en er is duidelijke herstelinformatie, zoals een update van de leverancier.

Moeten private bedrijven de KEV-termijnen volgen?

Nee. De termijnen binden civiele federale uitvoerende instanties in de VS op grond van Binding Operational Directive 26-04. Alle anderen kunnen de catalogus gebruiken als prioriteringssignaal, en veel klanten en auditors verwachten dat.

Wat is de opvolger van BOD 22-01?

BOD 26-04, uitgevaardigd op 10 juni 2026, heeft BOD 22-01 en BOD 19-02 ingetrokken. In plaats van een vaste termijn van twee weken voor KEV-vermeldingen stelt de richtlijn termijnen van 3 dagen tot de volgende systeemupgrade, op basis van KEV-status, publieke blootstelling, of misbruik kan worden geautomatiseerd en de technische impact.

Wat is het verschil tussen KEV en EPSS?

KEV legt kwetsbaarheden vast die al worden misbruikt. EPSS schat de kans dat een gepubliceerde CVE in de komende 30 dagen wordt misbruikt. Gebruik eerst KEV en daarna EPSS om al het andere te rangschikken.