CISA KEV is een lijst van de Amerikaanse overheidsdienst CISA met beveiligingsproblemen die aanvallers aantoonbaar echt hebben gebruikt. Staat een probleem op die lijst, dan is het meer dan een theoretisch risico. Dat maakt de lijst handig om te bepalen wat je als eerste oplost.
Wat is CISA KEV?
De meeste beveiligingsdata beschrijft wat er mis kan gaan. Deze lijst legt vast wat daadwerkelijk tegen systemen is ingezet, en dat maakt hem een van de nuttigste signalen om te bepalen wat je als eerste oplost.
CISA is de Cybersecurity and Infrastructure Security Agency van de Verenigde Staten. De dienst zet een CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft. in de catalogus als er betrouwbaar bewijs is dat aanvallers hem gebruiken en er een duidelijke manier is om de fout te verhelpen of te beperken. Elke vermelding toont het CVE-nummer, de leverancier en het product, een korte beschrijving en de datum van toevoeging.
De catalogus is bedoeld om Amerikaanse overheidsdiensten een deadline te geven voor de fouten die gebruikt worden. Die deadlines gelden niet voor bedrijven, maar de lijst zelf is openbaar en wordt veel gebruikt als prioriteitenhulp.
Wat KEV niet is
KEV is geen lijst van alle ernstige fouten. Veel zware kwetsbaarheden komen er nooit in, omdat niemand heeft aangetoond dat ze gebruikt zijn. Een hoge CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico.-score en een KEV-vermelding beantwoorden verschillende vragen: de eerste zegt hoe erg een fout kan zijn, de tweede dat hij is gebruikt. Zit een fout in beide, dan gaat hij bovenaan je lijst.
Wat het betekent voor een PHP- of WordPress-site
Voor een site-eigenaar is KEV een snel filter. Lees je over een fout in PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt., een servercomponent of een pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop. die je draait, dan weet je bij een KEV-vermelding dat de klok al tikt. Is er geen vermelding, dan plan je de update nog steeds, maar mogelijk in een rustiger tempo, met een test op stagingEen stagingomgeving is een afgeschermde kopie van je website waarop je updates uitprobeert voordat ze live gaan. en een back-upEen back-up is een kopie van je hele website, apart bewaard, zodat je hem kunt terugzetten als er iets misgaat..
Wees voorzichtig met de omgekeerde conclusie. Een ontbrekende vermelding is geen groen licht. Een fout kan in de praktijk gebruikt worden voordat CISA hem noteert, en CISA kan alleen vermelden waarvoor het bewijs heeft gezien. Daarom is een fout in de KEV-catalogus ook niet automatisch een zero-dayEen zero-day is een beveiligingsprobleem dat aanvallers al kunnen gebruiken voordat de maker een oplossing heeft., en is een zero-day niet automatisch opgenomen.
Een concreet voorbeeld
Op 21 oktober 2026 verhielp het PHP-project twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. De catalogusversie van 21 oktober 2026, uitgebracht om 14:04 UTC, vermeldt ze niet. php.net en CISA melden op dit moment geen misbruik in de praktijk. php.net noemt wel een gedemonstreerde exploitEen exploit is een stukje code of een werkwijze waarmee iemand een zwakke plek in software echt kan uitbuiten., een bewijs dat de aanval werkt, en dat is iets anders dan gebruik tegen echte sites. Onze pagina over PHP2Shell houdt de actuele stand bij, met bronnen en controletijden.
Wanneer je handelt
Staat een fout in software die je draait in de catalogus, dan update je nu, of je vraagt je host of ontwikkelaar wanneer zij dat doen. Staat hij er niet in, maar zegt de maker dat je direct moet updaten, volg dan de maker. In beide gevallen is de eerste stap dezelfde: zoek je exacte PHP- en pluginversies uit. De gratis PHP exposure check laat zien wat je site naar buiten onthult.
Is de update niet eenvoudig, omdat de site oud is, de PHP-takEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. geen fixes meer krijgt of een plugin op de nieuwe versie breekt, vraag dan om een geplande route via onze hulp bij een storing in je WordPress-site of onze hulp bij je PHP-versie updaten.
Veelgestelde vragen
Wat betekent het als een kwetsbaarheid in de KEV-catalogus staat?
CISA heeft bewijs dat aanvallers hem in de praktijk hebben gebruikt. Daarmee verschuift hij van theoretisch risico naar praktisch risico. Draai je een getroffen product, dan is dat een sterke reden om zonder uitstel te updaten.
Betekent het niet in KEV staan dat niemand de kwetsbaarheid misbruikt?
Nee. Niet vermeld zijn betekent alleen dat CISA hem niet heeft toegevoegd, bijvoorbeeld omdat het bewijs er nog niet is of nog niet is getoetst. Het bewijst niet dat niemand de fout gebruikt.
Moet ik als klein bedrijf de KEV-catalogus volgen?
De catalogus stelt deadlines voor Amerikaanse overheidsdiensten, en die gelden niet voor jou. Veel beveiligingsteams gebruiken hem als praktische prioriteitenlijst, en dat kun jij ook doen.
Waar kan ik de catalogus bekijken?
CISA publiceert hem op cisa.gov als webpagina en als downloadbaar bestand. Elke vermelding noemt de CVE, het product en de datum waarop hij is toegevoegd.