KEV Catalog
Known Exploited Vulnerabilities — CISA-Katalog von CVEs, die tatsächlich in freier Wildbahn ausgenutzt werden. Gestartet 2021. US-Bundesbehörden unterliegen einer bindenden Vorgabe: KEV-CVEs innerhalb von 14 Tagen patchen.
Vor KEV priorisierten Organisationen nach CVSS-Score (theoretischer Schweregrad). KEV unterscheidet „ausgenutzt“ von „potenziell ausnutzbar“ — ein handlungsrelevantes Signal. Rund 1100 CVEs standen 2025 im Katalog. Auch die Privatwirtschaft nutzt ihn als Prioritätenliste. CISA veröffentlicht regelmäßig neue KEV-Einträge, etwa 2–10 pro Monat. Aus Herstellersicht gilt: Landet eine CVE in KEV, wird sie zum dringenden Patch-Fall. Neuere Entwicklung: EPSS (Exploit Prediction Scoring System) liefert einen probabilistischen Score für CVEs, die noch nicht, aber wahrscheinlich bald ausgenutzt werden. KEV + EPSS + CVSS bilden die Dreifaltigkeit moderner Schwachstellenpriorisierung.