CISA KEV: katalog Known Exploited Vulnerabilities

Czym jest katalog CISA KEV?

Katalog Known Exploited Vulnerabilities (KEV) prowadzi amerykańska Cybersecurity and Infrastructure Security Agency (CISA). CISA nazywa go miarodajnym źródłem podatności wykorzystanych w rzeczywistych atakach i zdecydowanie zachęca wszystkie organizacje do priorytetowego ich usuwania.

CISA utworzyła katalog w listopadzie 2021 wraz z Binding Operational Directive 22-01. Według wersji katalogu z 24 września 2026 obejmuje on 1723 podatności. To znikomy ułamek wszystkich opublikowanych CVE i właśnie dlatego jest użyteczny: wpis w KEV nie jest prognozą ani oceną ważności, lecz zapisem faktycznego wykorzystania.

Jak podatność trafia do katalogu

CISA dodaje podatność, gdy spełnia ona trzy kryteria:

1. Ma identyfikator CVE.
2. Jest aktywnie wykorzystywana, z wiarygodnymi dowodami, że była lub jest wykorzystywana.
3. Istnieją jasne wytyczne naprawy, czyli jasne działanie dla dotkniętych organizacji, takie jak aktualizacja od dostawcy.

Trzecie kryterium ma znaczenie w praktyce: podatność może być wykorzystywana przez jakiś czas, zanim pojawi się w KEV, ponieważ nie było poprawki, na którą można by wskazać. Każdy może zgłosić podatność przez formularz podlinkowany na stronie KEV agencji CISA.

Co zawiera każdy wpis KEV

Pole	Co zawiera
cveID	Identyfikator CVE
vendorProject, product	Kto tworzy dotknięte oprogramowanie i którego produktu to dotyczy
vulnerabilityName, shortDescription	Nazwę i krótki opis
dateAdded, dueDate	Kiedy CISA dodała wpis i termin naprawy dla federalnych agencji USA
requiredAction	Co należy zrobić, zwykle zastosować aktualizacje lub środki łagodzące dostawcy albo zaprzestać używania
knownRansomwareCampaignUse	"Known", jeśli podatność wykorzystano w kampanii ransomware, w przeciwnym razie "Unknown"
forensicTriage	"Yes", jeśli BOD 26-04 wymaga dla niej triażu śledczego
notes, cwes	Odwołania i typy słabości

361 wpisów jest obecnie oznaczonych jako użyte w kampaniach ransomware. Jeśli trzeba szeregować w obrębie KEV, te mają pierwszeństwo.

BOD 26-04: terminy KEV dla agencji federalnych

Dla amerykańskich federalnych cywilnych agencji władzy wykonawczej KEV nie jest poradą. Binding Operational Directive 26-04, wydana 10 czerwca 2026, określa, jak szybko muszą usuwać podatności. Uchyliła BOD 22-01, która dawała dwa tygodnie dla większości wpisów KEV i sześć miesięcy dla CVE nadanych przed 2021, oraz BOD 19-02. Kryteria dodawania podatności do KEV się nie zmieniły.

BOD 26-04 ustala każdy termin na podstawie czterech pytań, opartych na modelu decyzyjnym SSVC agencji CISA:

• Wystawienie publiczne: czy zasób jest osiągalny z sieci publicznych?
• Status KEV: czy podatność jest w katalogu?
• Automatyzacja wykorzystania: czy napastnik może zautomatyzować wykorzystanie?
• Skutek techniczny: czy wykorzystanie daje częściową czy całkowitą kontrolę?

Odpowiedzi dają terminy od 3 dni, z triażem śledczym sprawdzającym, czy system nie został już przejęty, aż po naprawę przy następnej aktualizacji systemu. Dyrektywa nie dotyczy firm spoza administracji federalnej, chyba że stanowi tak umowa. Mimo to jest użytecznym punktem odniesienia dla Państwa własnej polityki.

Jak używać KEV, jeśli budują Państwo oprogramowanie

Większość wpisów KEV dotyczy produktów dużych dostawców: sam Microsoft odpowiada za 388, a dalej są Cisco, Apple, Adobe i Google. Pojawia się też open source, a gdy się pojawia, tkwi w produktach innych firm. Log4Shell (CVE-2021-44228) to przykład, który wszyscy pamiętają.

Pipeline'y buildów nie są wyjątkiem. Przejęte GitHub Actions tj-actions/changed-files (CVE-2025-30066) i reviewdog/action-setup (CVE-2025-30154) znajdują się w katalogu: znana wykorzystywana podatność może tkwić w workflow budującym Państwa produkt, a nie tylko w samym produkcie.

1. Porównać KEV z tym, co Państwo dostarczają, a nie z tym, co deklarują Państwa repozytoria. Podatna biblioteka pobrana przechodnio lub przez skrypt buildu nadal znajduje się w produkcie.
2. Traktować dopasowanie jak incydent, a nie pozycję w backlogu. Naprawić je lub złagodzić i zapisać dlaczego.
3. Sprawdzić okres narażenia. Które wydania zawierały podatną wersję i od kiedy? O to pytają klienci.
4. Pilnować terminów raportowania. Zgodnie z unijnym Cyber Resilience Act aktywnie wykorzystywana podatność w produkcie uruchamia po stronie producenta obowiązek wczesnego ostrzeżenia w ciągu 24 godzin.
5. Uszeregować całą resztę za pomocą EPSS i CVSS. Metodę opisuje strona priorytetyzacja podatności.

Jak uzyskać dane KEV

• CISA: strona katalogu, a także pliki CSV, JSON i schemat JSON.
• GitHub: cisagov/kev-data odzwierciedla pliki danych i aktualizuje się wraz z katalogiem.
• E-mail: CISA oferuje subskrypcję aktualizacji katalogu.
• Państwa narzędzia: wiele skanerów i platform zarządzania podatnościami oznacza wpisy KEV, między innymi Grype, Tenable, Qualys i Rapid7.

Jak pomaga CRACI

KEV mówi, które podatności są wykorzystywane. CRACI mówi, gdzie się znajdują. Uruchamia Państwa zadania GitHub Actions i rejestruje pakiety faktycznie pobrane przez każde zadanie, łącznie z zależnościami przechodnimi, pakietami z cache i ukrytymi zależnościami, których nie wymienia żaden lockfile, a także stale ponownie ocenia monitorowane SBOM-y.

• Których buildów to dotyczy. Historia buildów pokazuje, które wcześniejsze buildy zawierały podatną zależność, bezpośrednią lub przechodnią, dzięki czemu znają Państwo okres narażenia.
• Kto to naprawia. Zespoły bezpieczeństwa wykonują triaż znalezisk i przekazują każde z nich zespołowi odpowiedzialnemu za poprawkę.
• Zatrzymanie ponownego dostarczania. Bramki polityk mogą blokować build zawierający określoną CVE.
• Zgłoszenie. W przypadku aktywnie wykorzystywanych podatności objętych CRA CRACI składa zgłoszenia do organów w imieniu producenta.

CISA KEV: najczęściej zadawane pytania

Czym jest CISA KEV?

Katalog Known Exploited Vulnerabilities (KEV) to prowadzona przez CISA lista podatności wykorzystanych w rzeczywistych atakach. CISA nazywa go miarodajnym źródłem wykorzystywanych podatności i zachęca każdą organizację do priorytetowego ich usuwania.

Ile podatności znajduje się w katalogu KEV?

1723 według wersji katalogu z 24 września 2026, spośród setek tysięcy opublikowanych CVE. 361 z nich jest oznaczonych jako znane z użycia w kampaniach ransomware.

Co decyduje o dodaniu podatności do KEV?

Trzy kryteria: ma identyfikator CVE, istnieją wiarygodne dowody, że była lub jest wykorzystywana, oraz istnieją jasne wytyczne naprawy, takie jak aktualizacja od dostawcy.

Czy firmy prywatne muszą przestrzegać terminów KEV?

Nie. Terminy wiążą amerykańskie federalne cywilne agencje władzy wykonawczej na mocy Binding Operational Directive 26-04. Wszyscy inni mogą używać katalogu jako sygnału do priorytetyzacji, a wielu klientów i audytorów tego oczekuje.

Co zastąpiło BOD 22-01?

BOD 26-04, wydana 10 czerwca 2026, uchyliła BOD 22-01 i BOD 19-02. Zamiast stałych dwóch tygodni dla wpisów KEV wyznacza terminy od 3 dni do następnej aktualizacji systemu, na podstawie statusu KEV, wystawienia publicznego, możliwości automatyzacji wykorzystania i skutku technicznego.

Czym KEV różni się od EPSS?

KEV rejestruje podatności już wykorzystywane. EPSS szacuje prawdopodobieństwo, że dowolna opublikowana CVE zostanie wykorzystana w ciągu najbliższych 30 dni. Najpierw należy użyć KEV, a EPSS do uszeregowania całej reszty.