KEV (vulnérabilités exploitées)
KEV · Known Exploited Vulnerabilities · catalogue KEV · CISA KEV · vulnérabilités activement exploitées · BOD 26-04 · BOD 22-01
Catalogue public de la CISA, l’agence américaine de cybersécurité, qui recense les vulnérabilités dont l’exploitation par des attaquants est avérée.
En pratique
Une faille n’y entre qu’à trois conditions : elle possède un identifiant CVE, des preuves fiables montrent qu’elle est activement exploitée, et une mesure corrective claire existe (mise à jour de l’éditeur, par exemple). Créé en novembre 2021, le catalogue fixe des délais de correction aux administrations fédérales américaines, désormais encadrés par la directive BOD 26-04 du 10 juin 2026, qui a remplacé la BOD 22-01 et descend à 3 jours pour les failles les plus dangereuses exposées sur Internet. Pour une entreprise européenne, il n’a rien d’obligatoire mais reste le meilleur signal de priorité : une faille du KEV sert à des attaquants, maintenant. Chaque entrée précise aussi si la faille est connue pour servir à des campagnes de rançongiciel.
Cas fictif : un lundi matin, une faille de passerelle VPN entre au catalogue KEV. La PME qui suit ce catalogue applique le correctif dans la journée ; celle qui attendait sa fenêtre de maintenance mensuelle découvre une intrusion dix jours plus tard.
