Catalogo KEV
Known Exploited Vulnerabilities: il catalogo della CISA con le CVE effettivamente sfruttate in the wild. Lanciato nel 2021; le agenzie federali statunitensi hanno l'obbligo vincolante di correggere una CVE del KEV entro 14 giorni.
Prima del KEV le organizzazioni stabilivano le priorità in base al punteggio CVSS (gravità teorica). Il KEV distingue «sfruttata» da «potenzialmente sfruttabile»: un segnale su cui si può agire. Nel 2025 il catalogo conteneva circa 1100 CVE. Anche il settore privato lo usa come elenco di priorità. La CISA pubblica regolarmente nuove aggiunte, in genere da 2 a 10 al mese. Dal punto di vista del fornitore, una CVE che entra nel KEV impone un canale di patch urgente. Sviluppo recente: l'EPSS (Exploit Prediction Scoring System) assegna un punteggio probabilistico alle CVE non ancora sfruttate ma probabilmente destinate a esserlo. KEV + EPSS + CVSS formano la trinità moderna per dare priorità alle vulnerabilità.