KEV Kataloğu
Known Exploited Vulnerabilities — CISA'nın sahada gerçekten istismar edilen CVE'lerin kataloğu. 2021'de başladı. ABD federal kurumlarının bağlayıcı yönergesi var: KEV'deki CVE 14 gün içinde yamalanır.
KEV'den önce kurumlar CVSS puanına (kuramsal ciddiyet) göre önceliklendirirdi. KEV, "istismar edilen" ile "istismar edilebilir olabilecek" arasında ayrım yapar; bu da harekete geçirilebilir bir sinyaldir. 2025'te katalogda yaklaşık 1100 CVE vardı. Özel sektör de onu öncelik listesi olarak kullanıyor. CISA yeni KEV eklemelerini düzenli yayımlar, genelde ayda 2–10. Satıcı açısından: KEV'e giren CVE, acil yama kanalı demektir. Modern gelişme: EPSS (Exploit Prediction Scoring System), henüz istismar edilmemiş ama edilmesi muhtemel CVE'ler için olasılıksal bir puan verir. KEV + EPSS + CVSS, modern zafiyet önceliklendirmesinin üçlüsüdür.