CISA añade dos vulnerabilidades conocidas que han sido explotadas al catálogo

CISA ha agregado dos nuevas vulnerabilidades a su Catálogo de Vulnerabilidades Activamente Exploradas (KEV), basándose en evidencia de explotación activa. CVE-2023-4346 KNX Association KNX Protocol Connection Authorization Option 1 Vulnerabilidad Mecanismo de bloqueo de cuenta excesivamente restrictivo. CVE-2026-46817 Oracle E-Business Suite Vulnerabilidad de gestión inadecuada de privilegios. Este tipo de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y representan riesgos significativos para la empresa federal. La Directiva Operacional 26-04: Priorizar las actualizaciones de seguridad en función del riesgo, establece los requisitos de gestión de vulnerabilidades para las agencias del Sector Ejecutivo Civil Federal (FCEB). La Directiva 26-04 refuerza la importancia del Catálogo KEV y requiere que las agencias federales prioricen la rápida remediación de las vulnerabilidades de alto riesgo, específicamente aquellas identificadas por Common Vulnerabilities and Exposures (CVE) en los activos expuestos públicamente que otorgan control total del activo después de la explotación, mientras se pospone la acción para las vulnerabilidades de menor riesgo. La Directiva 26-04 también establece las expectativas básicas sobre cuándo las agencias deben verificar si los actores de amenazas comprometieron el sistema antes de aplicar la parche. Si bien la Directiva 26-04 se aplica solo a las agencias de FCEB, CISA anima a todas las organizaciones a adoptar la gestión de vulnerabilidades basada en el riesgo y a priorizar la remediación de las vulnerabilidades del Catálogo KEV. CISA continuará agregando vulnerabilidades al catálogo que cumplan con los criterios especificados. ¿Es consciente de una vulnerabilidad explotada que no figura actualmente en el Catálogo KEV? Presente para su posible inclusión a través del formulario de nominación KEV de CISA. Las posibles adiciones al Catálogo KEV deben tener un ID de CVE, evidencia de explotación y orientación clara de mitigación.