Каталог KEV CISA (известные эксплуатируемые уязвимости)

Что такое каталог и что в него попадает

Каталог KEV ведёт агентство кибербезопасности и безопасности инфраструктуры США (CISA). CISA называет его авторитетным источником уязвимостей, эксплуатируемых в реальных атаках, и рекомендует использовать его как входные данные для приоритизации управления уязвимостями. Согласно руководству по внедрению BOD 26-04, CVE добавляют, когда она:

• имеет присвоенный идентификатор CVE;
• имеет достоверные свидетельства активной эксплуатации в реальных атаках;
• имеет чёткие рекомендации по исправлению или смягчению;
• создаёт значительный риск для информационных систем правительства США.

В каждой записи указаны производитель и продукт, название и краткое описание, дата добавления, требуемое действие, срок, признак использования в кампаниях вымогателей и признак того, требуется ли криминалистический триаж. В выпуске 2026.10.21 в ленте было 1 754 записи, из них 361 помечена как используемая в кампаниях вымогателей.

Как скачать и отфильтровать ленту

CISA публикует каталог в формате JSON, в формате CSV и со схемой JSON. В JSON есть заголовок (title, catalogVersion, dateReleased, count) и массив vulnerabilities с полями cveID, vendorProject, product, vulnerabilityName, dateAdded, shortDescription, requiredAction, dueDate, knownRansomwareCampaignUse, forensicTriage, notes и cwes.

curl -s -o kev.json https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json

# one CVE
jq --arg id CVE-YYYY-NNNN '.vulnerabilities[] | select(.cveID==$id)' kev.json

# added in the last 7 days (GNU date)
jq -r --arg since "$(date -d '7 days ago' +%F)" '.vulnerabilities[]
  | select(.dateAdded >= $since) | [.cveID,.vendorProject,.product,.dueDate] | @tsv' kev.json

# products you run
jq -r '.vulnerabilities[] | select((.vendorProject+" "+.product) | test("nginx|openssh|docker";"i"))
  | [.cveID,.dateAdded,.dueDate,.product] | @tsv' kev.json

Названия производителей и продуктов не нормализованы, поэтому ищите по неполному совпадению, а затем сверяйтесь с тем, что реально установлено. Скачивать ленту чаще раза в сутки не нужно.

Для кого обязательны сроки и чего KEV не показывает

Первая директива, BOD 22-01, была издана 3 ноября 2021 года для федеральных гражданских агентств. Она требовала исправлять уязвимости за две недели, а для CVE, присвоенных до 2021 года, за шесть месяцев. Позже её отозвали и заменили директивой BOD 26-04 (10 июня 2026), где срок зависит от риска: CISA вычисляет dueDate по тому, доступен ли актив публично, а у свежих записей в ленте срок составляет 3 или 14 дней.

Эти директивы обязательны только для федеральных гражданских систем США. Для всех остальных срок это рекомендация, хотя CISA призывает все организации использовать каталог для приоритизации.

Ограничения, которые стоит помнить:

• Отсутствие CVE в списке не доказывает безопасность: в каталоге только записи, соответствующие критериям CISA.
• Запись ничего не говорит о том, используете ли вы затронутый продукт или версию.
• Это не трекер патчей: проверяйте исправление по своему пакету.

KEV в рутине обновлений

Добавьте один шаг в еженедельный обзор обновлений: скачайте ленту, выведите записи, добавленные с прошлой проверки, и сопоставьте их со всем, что вы используете, включая пакеты, контейнеры, панели управления и сетевые устройства. Совпадение это аварийный путь, а не рядовая задача из очереди, потому что эксплуатация уже подтверждена. Установите исправление или примените меру производителя быстрее обычного цикла, а остальное упорядочьте по CVSS.

Считайте поле forensicTriage подсказкой. Если там Yes, CISA ожидает, что федеральные агентства не только установят патч, но и проверят актив на компрометацию. На своём сервисе, доступном из интернета, сделайте так же и следуйте руководству по реагированию на взлом, если что-то выглядит подозрительно.

Практический пример есть в руководстве по приоритетам KEV, октябрьские добавления, затрагивающие серверы на Linux, разобраны в обзоре KEV за октябрь 2026, а весь процесс описан в руководстве по управлению обновлениями сервера.

Связанные термины: Управление обновлениями, CVSS, N-day эксплойт, Zero-day эксплойт, Реагирование на инциденты.