Atualização no catálogo de vulnerabilidades conhecidas
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu uma nova entrada em seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) na data de 23 de outubro de 2026. A adição ocorreu com base em evidências concretas de exploração ativa por atores maliciosos.
Esse tipo de falha representa um vetor de ataque frequente e oferece riscos significativos para o setor público federal. A diretiva operacional vinculativa BOD 26-04 estabelece requisitos de gestão de vulnerabilidades para agências civis do poder executivo, reforçando a prioridade do catálogo KEV.
A norma exige que os órgãos federais priorizem a correção rápida de vulnerabilidades de alto risco, especificamente aquelas identificadas por CVEs listados no catálogo em ativos expostos publicamente que concedam controle total do sistema após a exploração. Vulnerabilidades de menor risco podem ter a ação postergada.
Além da remediação, a diretiva define expectativas básicas para que as agências verifiquem se houve comprometimento dos sistemas antes da aplicação dos patches. Embora a BOD 26-04 se aplique apenas às agências civis federais, a CISA encoraja todas as organizações a adotarem uma gestão de vulnerabilidades baseada em risco.
A agência continuará a adicionar falhas ao catálogo que atendam aos critérios estabelecidos. Caso uma organização tenha conhecimento de uma vulnerabilidade explorada ainda não listada, é possível submetê-la por meio do formulário de nomeação do KEV, desde que possua identificador CVE, evidência de exploração e orientação clara de mitigação.
Com informações de: CISA Alerts