Agência Nacional de Segurança Digital dos EUA Adiciona Uma Nova Vulnerabilidade ao Catálogo de Conhecimento de Exploitação

Na última sexta-feira, a Agência Cibernética e Infraestrutural dos Estados Unidos (CISA) adicionou uma nova vulnerabilidade explorada ao seu Catálogo Conhecido de Vulnerabilidades Exploitadas. A inclusão ocorreu baseada em evidências concretas de ativação real de exploração por parte de agentes maliciosos. Essa espécie de vulnerabilidade costuma ser um vetor frequente para agentes maliciosos e apresenta riscos substanciais à rede federal americana.

  • Data de publicação: 06 de novembro de 2026
  • Autoridade responsável: Agência Cibernética e Infraestrutural dos EUA (CISA)

Segundo o comunicado oficional emitido pela agência, a nova inclusão reflete o compromisso permanente de monitorar e divulgar vulnerabilidades que estão sob exploração ativa por parte de cibercriminosos. A agência ressaltou que essas vulnerabilidades, em particular aquelas listadas no catálogo, representam ameaças diretas às redes federais.

Essa vulnernabilidade é um vetor de ataque frequente para agentes maliciosos e apresenta riscos significativos à rede federal.

Para contextualizar a importância dessa medida, é fundamental lembrar que o Decreto Operacional Vinculativo BOD 26-04 torna obrigatório o gerenciamento de vulnerabilidades pelas agências do Poder Executivo Civil Federal (FCEB). O referido decreto reforça a relevância do catálogo KEV e exige que as agências federais priorizem a remediação rápida das vulnerabilidades de alto risco, especificamente aquelas identificadas pelos números CVE associados a entradas no catálogo KEV de ativos expostos publicamente que, uma vez explorados, dão total controle sobre o mesmo. As agências também devem estabelecer expectativas básicas sobre quando devem verificar se agentes de ameaça teriam obtido controle sobre o sistema antes que o patch fosse aplicado.

O Decreto Operacional Vinculativo BOD 26-04 aplica-se apenas às agências FCEB e exige a priorização da remediação de vulnerabilidades de alto risco, a fim de prevenir explorações completas.

É importante destacar que, embora as regras do BOD 26-04 se aplicam exclusivamente às agências federais, o CISA encoraja todas as organizações a adotarem gerenciamento de vulnerabilidades baseado em avaliação de risco e a priorizarem a remediação das vulnerabilidades listadas no catálogo KEV. A agência afirma que continuará adicionando novas vulnerabilidades ao catálogo que atendam aos critérios estabelecidos.

O CISA incentiva organizações não federais a adotarem gerenciamento baseado em avaliação de risco e a priorizar a remediação dessas vulnerabilidades.

Além disso, caso a organização tenha descoberto uma vulnerabilidade explorada que ainda não conste no catálogo KEV, existe o formulário oficial de candidatura ao catálogo KEV. Os candidatos devem apresentar um identificador CVE válido, provas documentadas de exploração e orientações claras sobre como mitigar a vulnerabilidade. Com isso, o governo americano mantém um ciclo contínuo de aperfeiçoamento na proteção de suas redes e na conscientização do público quanto à gravidade dessas questões.

Com informações de: CISA Alerts (EUA)