O que entra no catálogo KEV
KEV é o catálogo Known Exploited Vulnerabilities, mantido pela CISA, a agência de cibersegurança do governo dos Estados Unidos, com as CVEs que já tiveram exploração confirmada contra alvo real.
Três condições precisam valer ao mesmo tempo para uma falha entrar: identificador CVE atribuído, evidência confiável de exploração ativa e uma ação de correção ou mitigação já disponível. Prova de conceito publicada não basta, e pesquisador demonstrando o ataque em laboratório também não.
Isso faz do KEV o mais conservador dos sinais que ordenam uma fila de vulnerabilidades. Ele chega depois dos outros. Em troca, o que está nele dispensa estimativa.
De onde o KEV veio e quem ele obriga
O KEV nasceu em 3 de novembro de 2021, com a diretiva operacional vinculante BOD 22-01, e abriu com 287 entradas no primeiro dia.
A obrigação legal alcança as agências civis federais dos Estados Unidos, que precisam corrigir cada item dentro do prazo publicado junto com a entrada. Nenhuma empresa brasileira, espanhola ou mexicana está sujeita a isso. O catálogo virou referência de mercado assim mesmo, por dois motivos práticos: é a fonte pública mais barata de consultar sobre exploração confirmada, e o arquivo é gratuito, legível por máquina e atualizado quase todo dia útil.
O KEV em números, em 16 de setembro de 2026
Na versão 2026.09.16 o KEV tinha 1.713 entradas, das quais 229 acrescentadas desde 1º de janeiro de 2026. O prazo mediano que a CISA dá para uma entrada nova é de 21 dias.
Duas leituras do conjunto dizem mais que a contagem.
A idade das falhas. As CVEs do catálogo vão de 2002 a 2026, e só 150 das 1.713 têm identificador de 2026. Nove em cada dez itens sob exploração confirmada hoje foram publicados em algum ano anterior. A entrada mais antiga é a CVE-2002-0367, do Windows, acrescentada em março de 2022. O que derruba empresa costuma ser conhecido há tempo suficiente para ter virado rotina.
A marca de ransomware. 360 entradas, 21% do catálogo, aparecem marcadas com uso conhecido em campanha de ransomware. É o subconjunto com correspondência mais direta a incidente de parada de operação, e ele cabe numa reunião de uma hora.
Por que o KEV é curto demais para ser a fila inteira
1.713 entradas contra 374.847 CVEs com nota EPSS na mesma data dá 0,46%. O catálogo cobre menos de meio por cento do universo publicado.
A virtude e o limite são a mesma propriedade. Se um item do seu parque está no KEV, a discussão sobre prioridade acabou. Em compensação, o catálogo registra o que foi observado e reportado, com o atraso de quem depende de observação alheia.
A VulnCheck deu a medida desse atraso em 21 de janeiro de 2026: 884 vulnerabilidades tiveram primeira evidência de exploração em 2025, contra 245 que a CISA acrescentou ao catálogo no mesmo ano. A distância entre os dois números é a parte do problema que o catálogo não enxerga a tempo.
O prazo da CISA e o prazo que a sua empresa cumpre
Cada entrada vem com data de correção. O DBIR 2026 da Verizon mostra o que acontece com esse prazo fora do governo americano: apenas 26% das falhas do catálogo estavam totalmente corrigidas, e o tempo mediano de correção subiu de 32 para 43 dias.
Três quartos do que se sabe estar sob ataque continua aberto, e a lista é pública, gratuita e cabe numa planilha. O gargalo está entre saber e agir. Dono do ativo indefinido, janela de manutenção disputada, sistema que ninguém quer reiniciar em horário comercial. A janela de exposição mede essa distância em horas ou dias, por ativo.
Como usar o KEV sem transformá-lo em teto
Como piso. Item do parque que aparece no catálogo sobe ao topo sem reunião. O erro comum é o movimento inverso, que trata como opcional tudo que está fora da lista.
Cruzado com o que responde de fora. Uma entrada do catálogo num componente que você não expõe pesa menos que uma falha de nota média num ativo aberto. O catálogo diz que a falha é usada no mundo. Quem diz que ela é alcançável no seu ambiente é a validação de exploitabilidade.
Como gatilho de reordenação. Quando uma CVE entra no catálogo, um ativo que já estava parado na sua fila muda de posição sem ter mudado de estado. Um programa que só reordena no ciclo seguinte perde esse sinal por semanas.
Somado à previsão. O KEV é fato consumado. O EPSS estima o que ainda vai acontecer. Quem usa os dois pega o que já está em uso e o que está subindo; quem usa só o catálogo trabalha sempre olhando para trás.
O que o KEV não cobre
Ele registra exploração observada, o que deixa de fora por construção tudo que ainda não foi observado nem reportado. Ataque dirigido a um alvo único, com exploit que nunca circulou, aparece no catálogo quando alguém conta, e às vezes anos depois.
Ele também não diz nada sobre o seu parque. Nenhuma das 1.713 entradas sabe se você roda aquele produto, se o serviço responde da internet ou se a pré-condição da falha vale no seu ativo. Essa parte é trabalho de gestão de vulnerabilidades somado a uma visão da superfície de ataque externa.
A CSURFACE cruza o catálogo da CISA com o inventário externo do cliente, com a nota do EPSS, com a existência de exploit público e com a telemetria de ataque que os sensores registram, e ordena a fila a partir desse conjunto. Endpoint, correio eletrônico e rede interna ficam fora do que a plataforma observa, e nenhum ajuste de texto muda isso.