O Centro de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos (CISA) adicionou três novas vulnerabilidades ao seu catálogo de vulnerabilidades exploradas conhecidas (KEV). A inclusão ocorre com base em evidências de exploração ativa em sistemas computacionais.
Esses tipos de falhas de segurança representam um vetor de frequente ataque para atores maliciosos e colocam riscos significativos para o empreendimento federal norte-americano. O catálogo KEV funciona como uma referência crítica para a priorização de esforços de correção de falhas.
A Diretiva Operacional Vinculante (BOD) 26-04 estabelece requisitos de gestão de vulnerabilidades para agências do Poder Executivo Federal Civil (FCEB). A directiva reforça a importância do catálogo KEV e exige que as agências federais priorizem a remediação rápida de vulnerabilidades de alto risco, especialmente aquelas identificadas por IDs de Vulnerabilidades e Exposições Comuns (CVEs) listadas no catálogo do CISA em ativos expostos publicamente que concedam controle total após exploração.
A BOD 26-04 define também expectativas básicas sobre quando as agências devem verificar se os atores de ameaça comprometeram o sistema antes que o patch fosse aplicado. Embora a directiva se aplique apenas a agências do FCEB, o CISA incentiva todas as organizações a adotarem uma gestão de vulnerabilidades baseada em risco e a priorizarem a remediação das falhas listadas no catálogo KEV.
O CISA informou que continuará a adicionar vulnerabilidades ao catálogo que atendam aos critérios estabelecidos. Para sugestões de vulnerabilidades exploradas que ainda não constam no catáleo, o centro disponibiliza um formulário de indicação. As propostas de adição devem conter um ID de CVE, evidências de exploração e orientações claras de mitigação.
Com informações de: CISA Alerts (EUA)