A Agência de Segurança de Infraestrutura e Cibersegurança dos Estados Unidos (CISA) incluiu duas novas vulnerabilidades conhecidas como exploradas ativamente em seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV).
A adição foi anunciada em 25 de setembro de 2026, após confirmação de que os falhas estão sendo utilizadas por atores maliciosos em campanhas ativas.
Essas falhas são vetores frequentes de ataque e representam riscos significativos para as agências do ramo executivo civil federal, cuja gestão de atualizações é orientada pela Diretiva Operacional Vinculante 26/04.
A diretiva estabelece que as agências devem priorizar a correção rápida de vulnerabilidades de alto risco listadas no KEV, especialmente aquelas que concedem controle total do ativo após a exploração, enquanto podem adiar ações para falhas de baixo risco.
Além disso, a BOD 26/04 determina que as agências verifiquem se os sistemas foram comprometidos antes da aplicação do patch, reforçando a necessidade de análise forense prévia.
Embora a diretiva vincule apenas as agências federais, a CISA incentiva todas as organizações a adotarem uma gestão de vulnerabilidades baseado em risco e a dar prioridade à correção das entradas do KEV.
Quem tomar conhecimento de uma vulnerabilidade explorada que ainda não consta do catálogo pode submeter a sugestão através do formulário de indicação de KEV da CISA, que exige identificação CVE, evidência de exploração e orientação clara de mitigação.
Com informações de: CISA Alerts (EUA)