De CISA KEV-catalogus
De KEV (Bekende uitgebuite kwetsbaarheden) is de catalogus die wordt beheerd door CISA, het Amerikaanse cybersecuritybureau, dat kwetsbaarheden opsomt waarvan misbruik is gemaakt bevestigd in het wild. Het is noch een schatting van de ernst, noch een waarschijnlijkheid: het is een waargenomen feit. Een CVE in de KEV wordt eerder gerepareerd dan de anderen.
Je hebt honderd achterstallige patches en nog twee dagen voor de boeg. Waar begin je? De KEV is het kortste antwoord op die vraag, en het enige dat gebaseerd is op feiten in plaats van op modellen.
Twee beelden om het concreet te maken
De KEV is de lijst met reeds gemelde branden. Het is geen brandrisicokaart en ook geen weersvoorspelling: het is het meldbord bij de brandweerkazerne, waarop de adressen momenteel branden. Niemand debatteert daar over waarschijnlijkheid; zij sturen de vrachtwagens.
De KEV is ook een kennisgeving van terugroepactie van voertuigen. Zolang een defect theoretisch is, documenteert de fabrikant dit. Zodra er ongelukken worden geconstateerd, volgt er een terugroepactie – en de vraag is niet langer “moet ik het binnenbrengen?” maar “wanneer kun je langskomen?”. Deze tweede afbeelding voegt toe wat de eerste mist: de terugroepactie komt na de eerste ongelukken, nooit eerder.
Wat de catalogus precies is
Eind 2021 opgezet, vermeldt de KEV-catalogus de CVE's waarvoor er betrouwbaar bewijs van actieve uitbuiting. Het bevat nu meer dan duizend inzendingen en is tot ver buiten de Verenigde Staten de referentielijst met prioriteiten geworden.
We publiceren hier geen exacte telling: CISA toont het huidige totaal bovenaan de catalogus, dat met enkele vermeldingen per week groeit. Een nummer dat in een artikel is bevroren, is binnen enkele dagen oud; het is beter om je naar de bron te verwijzen.
De drie inclusiecriteria
Een kwetsbaarheid komt alleen in de KEV terecht als deze aan alle eisen voldoet drie van de volgende voorwaarden:
- het heeft een toegewezen CVE identiteitskaart;
- er is betrouwbaar bewijs van actieve uitbuiting — een gepubliceerd proof of concept is niet voldoende; aanvallen moeten zijn waargenomen;
- a duidelijke sanering bestaat: een patch, een update of instructies om het product te verwijderen.
Het derde criterium verklaart waarom de catalogus conservatief is: CISA somt alleen op waar een organisatie daadwerkelijk actie op kan ondernemen. Dat is een kracht voor het stellen van prioriteiten, en een beperking voor detectie.
Wat een vermelding inhoudt
| Veld | Wat het je vertelt |
|---|---|
| CVE | De kwetsbaarheids-ID, die automatische matching met een inventaris mogelijk maakt. |
| Leverancier en product | De getroffen software moet als vrije tekst worden gekoppeld aan een gestandaardiseerde identificatie voordat een machine deze kan gebruiken. |
| Naam van de kwetsbaarheid | Een voor mensen leesbare titel, handig in een ticket. |
| Datum toegevoegd | De dagexploitatie werd bevestigd. Vergeleken met de publicatiedatum van de CVE toont het het echte venster. |
| Vereiste actie en vervaldatum | Het verwachte herstel en de deadline ervan zijn bindend voor Amerikaanse federale agentschappen. |
| Bekend gebruik van ransomware | Geeft aan of bekend is dat de fout wordt gebruikt in ransomwarecampagnes. |
Een echte, gedateerde casus: MOVEit, mei-juni 2023
De 31 mei 2023, brengt leverancier Progress een noodpatch uit voor zijn tool voor bestandsoverdracht, MOVEit Transfer. De fout is toegewezen CVE-2023-34362: een SQL-injectie die niet-geverifieerde uitvoering van externe code mogelijk maakt.
De 2 juni 2023, CISA voegt het toe aan de KEV-catalogus. Twee dagen tussen de patch en bevestigde exploitatie. Maar de volledige tijdlijn is nog strenger: wanneer de patch wordt verzonden, is de Cl0p-groep al een aantal dagen bezig met het exfiltreren van gegevens. De publieke tellingen zijn inmiddels verstreken 2.700 organisaties getroffen, waaronder overheidsinstanties en salarisaanbieders die nog nooit van MOVEit hadden gehoord, maar hun onderaannemer er wel gebruik van maakte.
Twee lessen die je kunt hergebruiken zoals ze zijn: de kloof tussen de publicatie van een CVE en de toevoeging ervan aan de KEV is soms minder dan 48 uur; en de exploitatie is vaak al vóór publicatie begonnen. De KEV is geen vroege waarschuwing, het is een inhaalsignaal – des te meer reden om snel te handelen.
KEV, EPSS, CVSS: drie verschillende vragen
| Standaard | Vraag | Type antwoord | Wat het mist |
|---|---|---|---|
| KEV | Wordt er misbruik van gemaakt? | Ja of nee, waargenomen | Alles wat wordt uitgebuit zonder openbaar bewijs. |
| EPSS | Is dat waarschijnlijk? | Een waarschijnlijkheid van 0 tot 1 | Gerichte aanvallen, die zeldzaam zijn en daarom slecht voorspeld. |
| CVSS | Hoeveel schade als het is? | Een score van 0 tot 10 | Timing en uw context. |
De drie werken in deze volgorde samen: KEV triggert, EPSS anticipeert, CVSS verbreekt de banden.
Het regelgevingskader: van BOD 22-01 tot BOD 26-04
De catalogus is gemaakt door middel van een richtlijn BZV 22-01 (november 2021), waarbij Amerikaanse federale instanties de KEV-kwetsbaarheden binnen een bepaalde vervaldatum moesten verhelpen. In 2026 werd die richtlijn ingetrokken en vervangen door BZV 26-04, dat zich richt op op risico gebaseerde patchprioriteit. De catalogus zelf blijft actief en wordt onderhouden.
Geen van beide richtlijnen is juridisch bindend voor een Frans bedrijf. Hun waarde ligt ergens anders: ze hebben van de KEV een algemeen referentiepunt gemaakt, dat wordt aangehaald in aanbestedingen, auditrapporten en patchbeleid in elke sector.
Wat het voor u betekent, in de praktijk
Drie stappen, in deze volgorde:
- Vergelijk de KEV met uw inventaris, niet met al uw waarschuwingen. De hele catalogus gaat jou niet aan; de overlap met uw producten doet dat wel.
- Stel een schriftelijke regel in: elke CVE in uw omgeving die in de KEV verschijnt, wordt binnen 48 uur afgehandeld, ongeacht de CVSS-score. Een regel met een getal erin voorkomt dat over elke waarschuwing opnieuw wordt onderhandeld.
- Let op toevoegingen aan de catalogus, niet alleen op de CVE-publicatie. Een fout die u drie maanden geleden opzij heeft gezet, kan morgen weer worden toegevoegd: dat is een overgang, en dat is wat de waarschuwing zou moeten activeren.