Vulnerabilidade explorada conhecida (KEV)

O catálogo KEV da CISA lista CVEs com evidência fiável de exploração em ambiente real contra alvos concretos. Sob a diretiva BOD 22-01, as agências civis federais norte-americanas têm de remediar as entradas listadas até uma data publicada, normalmente duas semanas para novas adições. Embora seja conduzido pelo governo dos EUA, organizações privadas em todo o mundo tratam o catálogo como um sinal forte de priorização — a inclusão na KEV é um dos melhores indicadores de que uma vulnerabilidade merece correção urgente. É frequentemente combinado com a gravidade CVSS e a probabilidade EPSS em programas de gestão baseada em risco.