已知被利用漏洞(KEV).

CISA 的 KEV 目录列出有可靠证据表明已被针对真实目标利用的 CVE。它由 约束性操作指令 BOD 22-01(于 2021 年 11 月 3 日发布)确立,要求美国联邦民事行政机构在公布的截止日期前完成修复——新加入条目通常给出约两周,最紧急的漏洞则更短。

要被收录,条目必须具备 CVE 编号、可靠的在野利用证据,以及明确的修复指引(通常为厂商补丁)。标志性条目包括 2021 年 12 月披露后数日即被收录的 CVE-2021-44228(Log4Shell),以及 CVE-2017-0144(EternalBlue)——因持续被 WannaCry、NotPetya 类蠕虫滥用,多年后仍在运营层面具有意义。

虽然该目录由美国政府主导,但全球私营机构普遍将其视为强信号优先级源——被纳入 KEV 是判断漏洞需要紧急打补丁的最有力指标之一,因为这意味着已有人正被该漏洞攻击。由于 CVSS 只评估严重性而非真实利用情况,基于风险的成熟项目会将 KEV 收录与 CVSS 及 EPSS(利用概率)结合,决定优先修复顺序。

flowchart TD
  A[新 CVE 披露] --> B{是否观测到在野利用?}
  B -- 否 --> C[以 CVSS / EPSS 跟踪]
  B -- 是 --> D[CISA 加入 KEV 目录]
  D --> E[设定 BOD 22-01 截止日期]
  E --> F[联邦机构须修复]
  D --> G[私营机构优先紧急打补丁]
  C --> H[基于风险的待办]
  F --> H
  G --> H