CISA pridala do katalógu dve známe zneužívané zraniteľnosti

CISA pridala dve nové zraniteľnosti do svojho Known Exploited Vulnerabilities (KEV) Catalog na základe dôkazov o aktívnom zneužívaní.

• CVE-2026-67277 MikroTik RouterOS Missing Authentication for Critical Function Vulnerability
• CVE-2026-86060 MikroTik RouterOS Improper Neutralization of Argument Delimiters in a Command Vulnerability

Tieto typy zraniteľností sú častým vektorom útokov škodlivých kybernetických aktérov a predstavujú významné riziká pre federálne prostredie.

Binding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk stanovuje požiadavky na správu zraniteľností pre agentúry Federal Civilian Executive Branch (FCEB). BOD 26-04 posilňuje význam KEV Catalog a vyžaduje od federálnych agentúr, aby uprednostňovali rýchlu nápravu vysokorizikových zraniteľností, konkrétne tých identifikovaných identifikátormi Common Vulnerabilities and Exposures (CVE) uvedenými v CISA KEV Catalog na verejne vystavených aktívach, ktoré po zneužití poskytujú úplnú kontrolu nad aktívom, pričom pri zraniteľnostiach s nižším rizikom odkladajú zásah. BOD 26-04 ďalej stanovuje základné očakávania, kedy musia agentúry overiť, či aktéri hrozieb kompromitovali systém ešte pred nasadením záplaty.

Hoci sa BOD 26-04 vzťahuje iba na agentúry FCEB, CISA nabáda všetky organizácie, aby prijali správu zraniteľností založenú na riziku a uprednostnili nápravu zraniteľností KEV Catalog. CISA bude naďalej pridávať do katalógu zraniteľnosti, ktoré spĺňajú stanovené kritériá.

Viete o zneužívanej zraniteľnosti, ktorá momentálne nie je uvedená v KEV Catalog? Predložte ju na možné zaradenie prostredníctvom KEV Nomination Form agentúry CISA. Potenciálne prídavky do KEV musia mať CVE ID, dôkaz o zneužívaní a jasné pokyny na zmiernenie.