KEV

KEV (Known Exploited Vulnerabilities) to katalog podatności wykorzystywanych w realnych atakach, prowadzony przez amerykańską agencję CISA. Agencja nazywa katalog KEV autorytatywnym źródłem informacji o lukach wykorzystanych w praktyce i przeznacza go do ustalania kolejności usuwania podatności ^[1]. Dla federalnej administracji cywilnej USA wpis do katalogu KEV oznacza obowiązek usunięcia luki w wyznaczonym terminie ^[4]. Dla pozostałych organizacji jest silną przesłanką, by daną podatność załatać przed innymi.

Jak działa

Podatność trafia do katalogu KEV, gdy spełnia trzy warunki ^[1]. Musi mieć identyfikator CVE nadany przez CNA. Musi istnieć wiarygodny dowód, że ktoś wykonał złośliwy kod na systemie bez zgody jego właściciela, czyli dowód aktywnego wykorzystania ^[1]. Musi też istnieć jasna instrukcja naprawy, na przykład aktualizacja od producenta, a dla produktu bez wsparcia jego usunięcie z sieci ^[1].

Ostatni warunek odróżnia katalog KEV od list zagrożeń bez rozwiązania: wpis zawsze wskazuje, co zrobić. Dlatego w katalogu KEV rzadko pojawia się zero-day w chwili ataku, a częściej luka z gotową poprawką, którą atakujący wykorzystują u tych, którzy jej nie wdrożyli; zob. n-day.

Drogę od ataku do wpisu pokazuje schemat poniżej.

RYS. 1Droga podatności do katalogu KEV

Katalog jest publiczny i dostępny także w formatach CSV i JSON, z opisem schematu JSON ^[2]. Wersja katalogu z 25 września 2026 roku liczyła 1726 pozycji ^[2]. Organizacje, które wiedzą o wykorzystywanej luce, mogą ją zgłosić do rozpatrzenia przez formularz CISA ^[5].

Terminy i dyrektywy

Obowiązek łatania luk z katalogu KEV wprowadziła dyrektywa BOD 22-01 z 3 listopada 2021 roku ^[3]. Nakazywała agencjom federalnym usunięcie luki w ciągu dwóch tygodni, a dla podatności z numerem CVE sprzed 2021 roku w ciągu sześciu miesięcy ^[3]. 10 czerwca 2026 roku zastąpiła ją dyrektywa BOD 26-04, która uchyliła też BOD 19-02 ^[4]. Nowa dyrektywa uzależnia termin od tego, czy system jest publicznie dostępny i czy atak da się zautomatyzować ^[4].

Wpis w katalogu KEV nie jest jedynym kryterium. Luka spoza katalogu, która dotyczy systemu publicznego, pozwala na zautomatyzowany atak i daje pełną kontrolę nad systemem, ma według BOD 26-04 termin 30 dni ^[4]. Pozostałe przypadki usuwa się przy najbliższej aktualizacji systemu ^[4]. Dyrektywy obowiązują wyłącznie amerykańską federalną administrację cywilną i nie obejmują systemów bezpieczeństwa narodowego ^[4]. CISA zachęca jednak wszystkie organizacje do zarządzania podatnościami według ryzyka i do priorytetowego traktowania luk z katalogu KEV ^[5].

W WordPressie

W wersji katalogu z 25 września 2026 roku słowo WordPress pojawia się w siedmiu wpisach na 1726 ^[2]. Trzy dotyczą wtyczek: File Manager, Duplicator i Social Warfare; wszystkie dodano 3 listopada 2021 roku ^[2], w dniu wydania dyrektywy BOD 22-01 ^[3]. Trzy kolejne dotyczą rdzenia i pochodzą z 2026 roku ^[2]. 25 września 2026 roku CISA dodała do katalogu lukę CVE-2026-87902 w rdzeniu WordPressa, opisaną jako Remote File Inclusion ^[5]. Trzy dni wcześniej WordPress wydał wersję 7.1.2, która usuwała tę lukę w wersjach od 4.7 do 7.1.1; nieuwierzytelniony atakujący mógł w pewnych warunkach doprowadzić do zdalnego wykonania kodu (RCE) ^[8]. Poprawka trafiła do wszystkich gałęzi, które otrzymują poprawki bezpieczeństwa, a strony z automatyczną aktualizacją otrzymały ją same ^[8].

Luki we wtyczkach i motywach trafiają więc do katalogu rzadko, choć to w nich tkwi wiele błędów stron WordPress; zob. podatność we wtyczce. Brak wpisu w katalogu KEV nie znaczy, że luka nie jest wykorzystywana: katalog obejmuje tylko przypadki, dla których CISA ma wiarygodny dowód ataku ^[1].

Znaczenie

Katalog KEV rozwiązuje problem kolejności. Ocena CVSS mówi, jak poważna może być luka, a wpis w katalogu KEV mówi, że ktoś już ją wykorzystuje. CISA w dyrektywie BOD 22-01 zalecała łączyć katalog z systemem oceny podatności, na przykład modelem SSVC ^[3]. Podobną rolę pełni EPSS, który szacuje prawdopodobieństwo wykorzystania.

Dane z katalogu KEV służą też do analiz klas błędów. MITRE w zestawieniu CWE Top 25 za 2025 rok podaje dla każdej słabości liczbę jej przypadków w katalogu KEV; na przykład deserializacja niezaufanych danych (insecure deserialization), CWE-502, miała ich 11 ^[6].

Dobre praktyki

• Włączyć katalog KEV do procesu zarządzania podatnościami; CISA zaleca narzędzia, które automatycznie oznaczają luki z katalogu ^[1].
• Przy każdym komunikacie o łatce (patch) sprawdzić, czy luka jest w katalogu KEV, i wtedy wdrożyć ją w pierwszej kolejności.
• Nie traktować braku wpisu jako dowodu bezpieczeństwa, zwłaszcza w przypadku wtyczek.
• Przy braku możliwości szybkiej aktualizacji zastosować obejście wskazane przez producenta.

Historia i przykłady

Wpis do katalogu KEV bywa spóźniony względem publikacji luki. W lutym 2026 roku Sekurak opisał dodanie do katalogu podatności SSRF w GitLabie, CVE-2021-39935 ^[7]. Redakcja zauważyła, że w tym przypadku musiało upłynąć zdecydowanie więcej czasu niż przy innych lukach GitLaba dodanych wcześniej do katalogu ^[7]. Poprawka była dostępna w wersjach 14.3.6, 14.4.4 i 14.5.2 ^[7], a więc od kilku lat przed wpisem.