CISA چهار آسیب‌پذیری شناخته‌شده مورد بهره‌برداری را به فهرست KEV اضافه کرد
CISA چهار CVE را به فهرست Known Exploited Vulnerabilities (KEV) افزود؛ این موارد شواهدی از بهره‌برداری فعال دارند و براساس BOD 26‑04 در اولویت مدیریت آسیب‌پذیری قرار می‌گیرند.
CISA در اطلاعیه‌ای چهار آسیب‌پذیری جدید را که دلایل شواهدی از بهره‌برداری فعال دارند، به فهرست Known Exploited Vulnerabilities (KEV) اضافه کرده است. موارد اضافه‌شده عبارت‌اند از:
- CVE-2026-75650 — Adobe Commerce and Magento Improper Neutralization of Special Elements Used in a Template Engine Vulnerability
- CVE-2026-81963 — Microsoft Windows Link Following Vulnerability
- CVE-2026-85880 — Microsoft Windows Heap-Based Buffer Overflow Vulnerability
- CVE-2026-86218 — N-able N-central Static Code Injection Vulnerability
طبق اطلاعیه، این نوع آسیب‌پذیری‌ها معمولاً نقطه ورود مورد استفاده بازیگران مخرب هستند و برای نهادهای فدرال مخاطرات قابل‌توجهی ایجاد می‌کنند. دستورالعمل عملیاتی الزام‌آور BOD 26-04: Prioritizing Security Updates Based on Risk، ضوابطی برای مدیریت آسیب‌پذیری در سازمان‌های Federal Civilian Executive Branch (FCEB) وضع می‌کند و رفع سریع آسیب‌پذیری‌های با ریسک بالا—خصوصاً آن‌هایی که در فهرست KEV قرار دارند و دارایی‌های در معرض اینترنت را که پس از بهره‌برداری کنترل کامل را به مهاجم می‌دهند تحت‌الشعاع قرار می‌دهد—را در اولویت قرار می‌دهد. BOD 26-04 همچنین انتظار پایه‌ای برای بررسی احتمال نقض سیستم قبل از اعمال پَچ را مشخص می‌کند.
اعمال BOD 26-04 صرفاً برای آژانس‌های FCEB الزام‌آور است، اما CISA سازمان‌های غیردولتی را نیز به اتخاذ مدیریت آسیب‌پذیری مبتنی بر ریسک و اولویت‌بندی اصلاح آسیب‌پذیری‌های فهرست KEV تشویق کرده است. CISA اعلام کرده که به افزودن آسیب‌پذیری‌هایی که معیارهای مشخص‌شده را دارند به فهرست ادامه خواهد داد.
اطلاعات فوق بر اساس اطلاعیه CISA Cybersecurity Advisories است.
خلاصه تحلیلی مستقل:
- قرار گرفتن این چهار CVE در فهرست KEV نشان‌دهنده وجود شواهد بهره‌برداری فعال است و بنابراین برای دارایی‌های در معرض شبکه باید در اولویت بررسی و اصلاح قرار گیرند.
- سازمان‌ها—به‌ویژه آن‌هایی که دارایی‌های در معرض اینترنت دارند—باید فهرست دارایی‌ها و قرارگیری در معرض (exposure) را شناسایی کرده و رفع یا کاهش برای موارد ذکرشده را سریعاً در نظر بگیرند.
- برای آژانس‌های فدرال، الزام‌های BOD 26-04 روی اولویت‌بندی و بررسی پیش از پَچ (برای ارزیابی احتمال نفوذ پیش از رفع) تاکید دارد؛ سازمان‌های دیگر نیز بهره‌مند از اتخاذ رویکرد مشابه خواهند بود.
- چون اطلاعیه شواهدی از بهره‌برداری فعال را گزارش می‌کند، سطح اطلاع‌رسانی در مورد نشانه‌های نفوذ و بررسی لاگ‌ها/شاخص‌های تهدید پیش از اعمال اصلاح نباید نادیده گرفته شود.