CISA pridala do katalógu štyri známe zneužívané zraniteľnosti

CISA pridala štyri nové zraniteľnosti do svojho katalógu Known Exploited Vulnerabilities (KEV) na základe dôkazov o aktívnom zneužívaní.  

• CVE-2026-75650 Adobe Commerce and Magento – zraniteľnosť nesprávnej neutralizácie špeciálnych prvkov používaných v šablónovom engini
• CVE-2026-81963 Microsoft Windows – zraniteľnosť typu link following  
• CVE-2026-85880 Microsoft Windows – zraniteľnosť heap-based buffer overflow 
• CVE-2026-86218 N-able N-central – zraniteľnosť injekcie statického kódu 

Tieto typy zraniteľností sú častým vektorom útokov škodlivých kybernetických aktérov a predstavujú významné riziká pre federálne inštitúcie.

Binding Operational Directive (BOD) 26-04: Prioritizácia bezpečnostných aktualizácií na základe rizika stanovuje požiadavky na správu zraniteľností pre agentúry Federal Civilian Executive Branch (FCEB). BOD 26-04 posilňuje význam katalógu KEV a vyžaduje, aby federálne agentúry uprednostnili rýchlu nápravu vysoko rizikových zraniteľností, konkrétne tých identifikovaných identifikátormi Common Vulnerabilities and Exposures (CVE) uvedenými v katalógu KEV agentúry CISA na verejne vystavených aktívach, ktoré po zneužití poskytujú úplnú kontrolu nad aktívom, pričom pri zraniteľnostiach s nižším rizikom odložia opatrenia. BOD 26-04 ďalej stanovuje základné očakávania, kedy musia agentúry overiť, či aktéri hrozieb kompromitovali systém ešte pred aplikovaním záplaty.

Hoci sa BOD 26-04 vzťahuje iba na agentúry FCEB, CISA nabáda všetky organizácie, aby prijali správu zraniteľností založenú na riziku a uprednostnili nápravu zraniteľností z katalógu KEV. CISA bude naďalej pridávať do katalógu zraniteľnosti, ktoré spĺňajú stanovené kritériá.

Viete o zneužívanej zraniteľnosti, ktorá momentálne nie je uvedená v katalógu KEV? Navrhnite ju na možné zaradenie prostredníctvom formulára na nomináciu do KEV agentúry CISA. Potenciálne prírastky do KEV musia mať identifikátor CVE, dôkaz o zneužití a jasné pokyny na zmiernenie.