CISA pridala štyri známe zneužívané zraniteľnosti do katalógu
CISA zaradila do katalógu Known Exploited Vulnerabilities (KEV) štyri nové zraniteľnosti s dôkazmi o aktívnom zneužívaní, ktoré sa týkajú produktov Fortinet, Citrix NetScaler, Google Chromium V8 a Cisco Firewall Management Center.
CISA pridala štyri nové zraniteľnosti do svojho katalógu Known Exploited Vulnerabilities (KEV) Catalog na základe dôkazov o aktívnom zneužívaní.
- CVE-2025-25249 viaceré produkty Fortinet – zraniteľnosť pretečenia buffera na halde
- CVE-2026-19490 Citrix NetScaler – zraniteľnosť obídenia autentifikácie pomocou alternatívnej cesty alebo kanála
- CVE-2026-87491 Google Chromium V8 – zraniteľnosť zápisu mimo hraníc
- CVE-2026-20079 Cisco Firewall Management Center – zraniteľnosť obídenia autentifikácie pomocou alternatívnej cesty alebo kanála
Tieto typy zraniteľností sú častým vektorom útokov škodlivých kybernetických aktérov a predstavujú významné riziká pre federálne inštitúcie.
Binding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk stanovuje požiadavky na správu zraniteľností pre agentúry Federal Civilian Executive Branch (FCEB). BOD 26-04 posilňuje význam katalógu KEV a vyžaduje od federálnych agentúr, aby uprednostnili rýchlu nápravu vysoko rizikových zraniteľností, konkrétne tých identifikovaných ako Common Vulnerabilities and Exposures (CVE) uvedených v katalógu KEV agentúry CISA na verejne dostupných aktívach, ktoré po zneužití poskytujú úplnú kontrolu nad aktívom, pričom pri zraniteľnostiach s nižším rizikom odkladajú opatrenia. BOD 26-04 ďalej stanovuje základné očakávania, kedy musia agentúry overiť, či aktéri hrozieb kompromitovali systém ešte pred nasadením záplaty.
Hoci sa BOD 26-04 vzťahuje iba na agentúry FCEB, CISA nabáda všetky organizácie, aby prijali správu zraniteľností založenú na riziku a uprednostnili nápravu zraniteľností v katalógu KEV. CISA bude naďalej pridávať do katalógu zraniteľnosti, ktoré spĺňajú stanovené kritériá.
Viete o zneužívanej zraniteľnosti, ktorá momentálne nie je uvedená v katalógu KEV? Predložte ju na možné zaradenie prostredníctvom KEV Nomination Form agentúry CISA. Potenciálne prírastky do KEV musia mať CVE ID, dôkazy o zneužití a jasné pokyny na zmiernenie.
