KEV каталог

Технически детайл, който обяснява всичко: всяка позната дупка в софтуер получава уникален номер, CVE, издаван от международна система за каталогизиране. Дупки има с хиляди, повечето никога не са пипани от никого извън изследователска лаборатория. CISA взима от тази маса само тези, за които има твърдо потвърждение, че реален нападател вече ги е използвал, и ги слага в KEV. Разликата не е нюанс. Разликата е пропаст: едното е 'теоретично може', другото е 'вече стана'.

На практика работи така. Излиза нова дупка, някой докладва, че е видял атака през нея, CISA я проверява и я добавя със задължителен срок за всяка федерална агенция в САЩ да я закърпи. Срокът се мени: понякога е две седмици, а за най-спешните само три дни. Само през юли 2026 добавиха нови позиции в рамките на дни. Това не е бюрократична хартийка. Това е таймер, тръгнал от момента на добавяне.

Каталогът стартира през 2021 година и към 8 октомври 2026 държи 1739 позиции. Съществува, защото компаниите и институциите тънат в предупреждения за хиляди потенциални дупки и нямат ресурс да закърпят всичко наведнъж. KEV им казва кое гори точно сега, а кое е само на хартия. Приоритетът се измества от 'колко е опасна теоретично' към 'колко е опасна на практика, защото вече е използвана'.

Ползва се от много повече хора, отколкото звучи. Американските федерални агенции са длъжни по закон, но частни компании по целия свят, включително и тук, вкарват KEV списъка директно в софтуера си за сигурност, за да им светва червено автоматично, когато нещо от техните системи съвпадне с позиция в каталога. Това е списъкът, по който истински тим по сигурност си съставя работния ден.

Влизат и стари дупки. На 8 октомври 2026 CISA добави пет наведнъж, всичките от списъка на общия съвет за китайската фирма Integrity Tech: в ISC BIND, ProFTPD, Apache Struts, ONLYOFFICE Docs и Strapi. Номерата им са от 2015 до 2023 година. Срокът за федералните агенции в САЩ е 11 октомври, неделя, три дни след вписването. Дупката не остарява сама. Остарява, когато я закърпиш.

Една седмица показва колко стегнат е часовникът. От 13 до 16 октомври 2026 CISA вписа 9 дупки и за всичките срокът е три дни. Сред тях са Ivanti Connect Secure, Windows, пощенският шлюз на Cisco, PAN-OS на Palo Alto Networks и BeyondTrust Remote Support. Таймерът тръгва в деня на вписването.

Същото се повтори на 23 октомври 2026: CISA вписа две дупки и за двете срокът е 26 октомври, понеделник, пак три дни. Едната е в VeloCloud Orchestrator на Arista (CVE-2026-114625). За нея самата Arista пише, че е открита от нея и че се експлоатира активно, и че няма настройка, която да предотврати достъпа. За този продукт това е втори път за месец: на 22 септември в каталога влезе друга дупка в него. Втората е в Collabora Online (CVE-2026-110447): производителят я описва като команда към операционната система без вход в системата, а в каталога тя е, защото CISA я вписа.

Пример как 'поправено' и 'атакувано' вървят заедно: на 26 октомври 2026 CISA вписа в каталога двете дупки в самия PHP, CVE-2026-109618 и CVE-2026-109619. Срокът за федералните агенции в САЩ е 29 октомври, пак три дни, и тръгва пет дни след като PHP пусна поправките на 21 октомври. Кръпката беше излязла, а дупките пак влязоха в списъка на активно използваните.

Още един пример е от 28 октомври 2026: CISA вписа дупка в регистрирането на VMware ESX (CVE-2026-41709) и дупка в ядрото на Linux (CVE-2026-46300). Срокът за федералните агенции е 11 ноември за първата и 31 октомври за втората, три дни след вписването. И двете са стари: кръпките са от месеци преди вписването, а Broadcom публикува бюлетина си за ESX още на 29 юли. Broadcom не пише, че дупката се ползва в атаки. Че е активно използвана, казва само каталогът на CISA. А самата дупка в ESX е с ниска оценка (2.7) и иска вече администраторски права: нападател, който си заличава следите.

На 29 октомври 2026 CISA вписа още две дупки: в GitLab (CVE-2026-97229) и в защитната стена на Cisco, моделите ASA и FTD (CVE-2026-76418). Срокът и за двете е 1 ноември, неделя. Кръпката за GitLab излезе още на 12 октомври, оценката на дупката е най-високата, 10.0, и тя позволява на неаутентикиран нападател да изпълни код на сървъра. GitLab в бележката си не пише, че дупката се ползва в атаки. Това казва каталогът на CISA. При Cisco дупката рестартира устройството неочаквано, а самата Cisco пише, че през октомври 2026 екипът ѝ по сигурност е узнал за активна експлоатация. Урокът е прост: кръпка отпреди седмици не значи стара тема. Вписването идва, когато атаките започнат.

KEV не гледа напред. Гледа назад - протокол за миналото: всяка позиция в списъка означава, че вече някой е бил жертва, преди тя изобщо да стигне до каталога.

Гледам сценографията

Най-честната част на този списък е точно това, което го прави ценен: закъснението. Влизаш в него само след като вредата вече е нанесена някъде. Затова не гледам на KEV като на алармена система. Гледам на него като на протокол за автопсия - един, който по случайност се актуализира достатъчно бързо, за да спаси следващата жертва.

За мен като човек, който строи софтуерни системи, това е най-простият възможен филтър срещу шум: хиляди предупреждения, едно измерение което наистина има значение, дали вече е ударило някого. Всичко останало е теория, а теорията не боли.

Визуалът е генериран код-арт, без чужди изображения.