KEV-catalogus
Known Exploited Vulnerabilities — de CISA-catalogus van CVE's die daadwerkelijk in het wild worden misbruikt. Gelanceerd in 2021. Amerikaanse federale instanties hebben een bindende opdracht: een KEV-CVE binnen 14 dagen patchen.
Vóór KEV prioriteerden organisaties op basis van de CVSS-score (theoretische ernst). KEV maakt onderscheid tussen "wordt misbruikt" en "zou misbruikt kunnen worden" — een signaal waar je iets mee kunt. In 2025 stonden er zo'n 1100 CVE's in de catalogus. Ook de private sector gebruikt hem als prioriteitenlijst. CISA publiceert regelmatig nieuwe KEV-toevoegingen — doorgaans 2 tot 10 per maand. Vanuit leveranciersperspectief: een CVE die in KEV belandt, betekent een urgent patchkanaal. Een moderne aanvulling is EPSS (Exploit Prediction Scoring System), dat een kansscore geeft voor CVE's die nog NIET zijn misbruikt maar waarschijnlijk wel zullen worden. KEV + EPSS + CVSS vormen samen de drie-eenheid van moderne kwetsbaarheidsprioritering.