Catálogo KEV
Known Exploited Vulnerabilities — catálogo da CISA com as CVEs efetivamente exploradas em ataques reais. Lançado em 2021. Agências federais dos EUA têm diretiva vinculante: corrigir uma CVE do KEV em até 14 dias.
Antes do KEV, as organizações priorizavam pela nota CVSS (gravidade teórica). O KEV separa o "explorado" do "potencialmente explorável" — um sinal acionável. Eram cerca de 1.100 CVEs no catálogo em 2025. O setor privado também o usa como lista de prioridades. A CISA publica novas entradas com regularidade, tipicamente de 2 a 10 por mês. Na ótica do fornecedor, uma CVE que cai no KEV pede correção urgente. A evolução moderna é o EPSS (Exploit Prediction Scoring System), que dá uma pontuação probabilística para CVEs que AINDA NÃO foram exploradas, mas provavelmente serão. KEV + EPSS + CVSS formam a trindade da priorização moderna de vulnerabilidades.