Известная эксплуатируемая уязвимость (KEV)

Каталог KEV CISA содержит CVE с надёжными доказательствами эксплуатации в реальной среде против реальных целей. В соответствии с директивой BOD 22-01 гражданские федеральные агентства США обязаны устранять перечисленные записи к опубликованному сроку, обычно в течение двух недель для новых записей. Хотя каталог ведёт правительство США, частные организации по всему миру воспринимают его как сильный сигнал приоритизации — попадание в KEV является одним из ярких индикаторов необходимости экстренного патчинга. В программах риск-ориентированного управления уязвимостями KEV обычно сочетается с CVSS и EPSS.