CISA adiciona três vulnerabilidades exploradas ao catálogo

Tradução automática do conteúdo disponibilizado no feed de CISA. Original: https://www.cisa.gov/news-events/alerts/2026/08/27/cisa-adds-three-known-exploited-vulnerabilities-catalog

A CISA adicionou três novas vulnerabilidades ao catálogo Known Exploited Vulnerabilities (KEV), com base em evidências de exploração ativa.

CVE-2023-49105 — Vulnerabilidade de autenticação inadequada do ownCloud
CVE-2026-53362 — Vulnerabilidade não especificada do Linux Kernel
CVE-2026-66384 — Vulnerabilidade de limitação inadequada de um nome de caminho para um diretório restrito do JFrog Artifactory

Esses tipos de vulnerabilidade são um vetor frequente de ataque para atores cibernéticos maliciosos e representam riscos significativos para o ambiente federal. A Binding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk estabelece requisitos de gerenciamento de vulnerabilidades para agências do Poder Executivo Federal Civil. A BOD 26-04 reforça a importância do catálogo KEV e exige que as agências federais priorizem a correção rápida de vulnerabilidades de alto risco, especialmente aquelas identificadas por CVEs listadas no catálogo KEV em ativos expostos publicamente que concedam controle total do ativo após a exploração, adiando ações para vulnerabilidades de menor risco.

A BOD 26-04 também estabelece expectativas básicas para que as agências verifiquem se atores de ameaças comprometeram o sistema antes da aplicação do patch. Embora a BOD 26-04 se aplique somente às agências do Poder Executivo Federal Civil, a CISA incentiva todas as organizações a adotarem gerenciamento de vulnerabilidades baseado em risco e priorizarem a correção das vulnerabilidades do catálogo KEV.

A CISA continuará adicionando vulnerabilidades ao catálogo que atendam aos critérios especificados. Uma vulnerabilidade explorada que ainda não esteja listada no catálogo KEV pode ser enviada para possível inclusão por meio do KEV Nomination Form. As possíveis inclusões no KEV devem ter um ID CVE, evidências de exploração e orientações claras de mitigação.