Katalog KEV CISA Tembus 1.768 Entri Per November 2026

Katalog Known Exploited Vulnerabilities milik CISA mencapai 1.768 entri pada versi 2026.11.04, dirilis 4 November 2026 pukul 20:00 UTC. Sebanyak 38 kerentanan ditambahkan sejak 1 Oktober 2026, dengan Plex menjadi vendor paling sering muncul (4 entri), disusul Ivanti (3 entri) dan lima vendor masing-masing 2 entri. Semua angka di artikel ini dibaca langsung dari berkas feed JSON resmi katalog tersebut pada 6 November 2026.

TL;DR

• Katalog KEV CISA berisi 1.768 entri per versi 2026.11.04 yang terbit 4 November 2026.
• 38 kerentanan ditambahkan sepanjang 1 Oktober sampai 4 November 2026.
• Vendor terbanyak pada periode itu: Plex (4), Ivanti (3), lalu Cisco, PHP Group, Fortinet, Ahsay, dan Zammad masing-masing 2.
• Katalog ini hanya memuat kerentanan yang sudah terbukti dieksploitasi di lapangan, bukan seluruh kerentanan yang ada.
• Nilai praktisnya untuk tim kecil: katalog ini berfungsi sebagai daftar prioritas patch yang jauh lebih pendek daripada seluruh feed CVE.

Bagi tim yang tidak punya program vulnerability management penuh, katalog KEV adalah alat yang paling murah untuk dipakai. Alasannya sederhana: dari puluhan ribu CVE yang terbit setiap tahun, hanya sebagian kecil yang benar-benar dieksploitasi. Katalog ini menyaring daftar itu, dan penyaringan tersebut mengubah pekerjaan yang tadinya terasa mustahil menjadi daftar yang bisa diperiksa satu per satu.

Apa itu katalog KEV dan kenapa beda dari feed CVE biasa?

Katalog KEV memuat kerentanan yang sudah terbukti dieksploitasi di lapangan, sedangkan feed CVE memuat kerentanan yang teridentifikasi, terlepas dari ada tidaknya eksploitasi. Perbedaan ini yang membuat KEV berguna sebagai daftar prioritas, karena setiap entri di dalamnya sudah melewati syarat bukti eksploitasi.

CISA mengelola katalog ini dan menerbitkan halaman katalog yang bisa difilter per vendor, produk, dan tanggal penambahan. Untuk instansi federal Amerika Serikat, katalog ini punya konsekuensi aturan lewat BOD 22-01, sehingga penambahannya diikuti tenggat penanganan. Untuk organisasi di luar cakupan itu, nilai katalog sepenuhnya bersifat teknis: ini daftar hal yang sudah diserang, bukan daftar hal yang mungkin diserang.

Konsekuensi praktisnya penting untuk dipahami. Sebuah CVE dengan skor keparahan tinggi tetapi belum pernah dieksploitasi bisa menunggu jadwal patch normal. Sebuah CVE dengan skor lebih rendah tetapi sudah masuk KEV justru mendesak, karena bukti eksploitasi sudah ada. Banyak tim membalik logika ini dan memprioritaskan berdasarkan skor saja, lalu kehilangan waktu pada kerentanan yang belum pernah dipakai penyerang.

Berapa kerentanan yang ditambahkan pada Oktober 2026?

Ada 38 entri baru antara 1 Oktober dan 4 November 2026. Angka ini lebih kecil dibanding total katalog, tetapi perlu dibaca bersama komposisi vendornya, karena konsentrasi pada beberapa produk menunjukkan pola targeting yang lebih spesifik.

Beberapa entri terbaru pada periode tersebut:

Tanggal tambah	CVE	Vendor	Jenis masalah
2026-10-14	CVE-2026-0322	Palo Alto Networks	Code injection pada PAN-OS
2026-10-13	CVE-2026-104935	Ivanti	Authentication bypass lewat spoofing pada Connect Secure
2026-10-13	CVE-2026-96951	Microsoft	Command injection pada Windows
2026-10-04	CVE-2026-88779	Citrix	Pembatasan operasi tidak tepat pada NetScaler
2026-10-02	CVE-2026-102490	Zammad	Manajemen hak akses tidak tepat
2026-10-01	CVE-2026-104286	Fortinet	Path traversal pada FortiMail

Yang mencolok dari daftar itu adalah dominasi perangkat tepi dan layanan yang menghadap internet: PAN-OS, Connect Secure, NetScaler, FortiMail. Perangkat jenis ini punya dua sifat yang membuatnya menarik bagi penyerang. Pertama, sering dijangkau langsung dari internet sehingga tidak butuh akses awal. Kedua, biasanya memegang kredensial atau sesi yang bisa dipakai untuk bergerak ke dalam jaringan.

Selain entri baru, ada juga kerentanan lama yang baru masuk katalog pada Oktober 2026, misalnya CVE-2015-5477 pada ISC BIND, CVE-2016-3081 pada Apache Struts, CVE-2023-22894 pada Strapi, CVE-2021-3199 pada ONLYOFFICE Docs Server, dan CVE-2015-3306 pada ProFTPD. Semuanya ditambahkan pada 8 Oktober 2026. Masuknya CVE berumur lebih dari sepuluh tahun ke katalog ini menunjukkan satu hal: perangkat lunak lama yang masih terpasang tetap menjadi sasaran, dan eksploitasi yang sudah tersedia bertahun-tahun lalu masih dipakai.

Komposisi vendor pada periode itu juga memberi petunjuk tentang jenis target yang sedang diburu. Plex muncul empat kali, Ivanti tiga kali, lalu Cisco, PHP Group, Fortinet, Ahsay, dan Zammad masing-masing dua kali. Plex dan Ivanti bukan nama yang biasanya muncul di daftar pelatihan keamanan dasar, tetapi keduanya menyimpan hal yang bernilai: pustaka media pribadi pada satu sisi, dan gerbang akses jarak jauh pada sisi lain.

Pola yang sama terlihat pada entri lain. Zammad, yang merupakan sistem tiket layanan, masuk dua kali pada 2 Oktober 2026 lewat CVE-2026-102490 dan CVE-2026-102489, masing-masing menyangkut manajemen hak akses dan session fixation. Dua celah pada produk yang sama dalam satu hari biasanya berarti keduanya ditemukan dalam satu rangkaian pengujian, dan kombinasinya berbahaya: session fixation membuat sesi bisa dibajak, sementara manajemen hak akses yang lemah memperbesar dampak setelah sesi diambil alih.

Untuk tim yang menyusun prioritas, urutan pembacaan yang lebih berguna adalah dari dampak, bukan dari skor. Kerentanan pada sistem tiket dan gerbang akses jarak jauh layak didahulukan karena keduanya sering menjadi titik awal pergerakan lateral: satu memberi akses ke percakapan dan lampiran internal, yang lain memberi akses ke jaringan. Setelah keduanya tertangani, barulah perangkat pendukung lain diperiksa.

Bagaimana memakai katalog ini tanpa program keamanan penuh?

Caranya adalah memetakan katalog ke inventaris sendiri, bukan membaca seluruh katalog dari atas ke bawah. Tanpa pemetaan, katalog yang berisi 1.768 entri hanya menjadi bacaan yang menakutkan tanpa tindakan yang jelas.

Langkah pertama, ambil daftar perangkat lunak dan versi yang benar-benar berjalan, termasuk perangkat tepi yang sering luput dari inventaris seperti VPN, mail gateway, dan panel administrasi. Langkah kedua, cocokkan dengan nama vendor dan produk pada katalog. Langkah ketiga, periksa tanggal penambahan: entri yang baru masuk dalam 30 hari terakhir biasanya lebih mendesak karena eksploitasi masih aktif. Langkah keempat, setelah patch terpasang, verifikasi versi yang berjalan, bukan hanya status paket terpasang.

Urutan itu penting karena kesalahan paling umum bukan lupa menambal, melainkan salah mendaftar. Perangkat tepi sering dikelola tim jaringan sementara katalog dibaca tim keamanan, sehingga satu pihak punya daftar kerentanan dan pihak lain memegang kunci aksesnya. Memetakan katalog ke inventaris memaksa kedua daftar itu bertemu.

Untuk organisasi kecil, satu kebiasaan sederhana sudah memberi hasil: periksa katalog setiap pekan, ambil entri baru, lalu cocokkan dengan daftar aset. Pekerjaan ini bisa diselesaikan dalam hitungan menit jika inventarisnya rapi, dan hasilnya berupa daftar tindakan yang pendek dan spesifik.

Yang membuat kebiasaan itu bertahan bukan kerapian, melainkan bukti kemajuan. Simpan catatan singkat setiap pekan: jumlah entri baru, entri yang menyentuh aset, dan entri yang sudah tertangani. Dalam beberapa bulan, catatan itu menunjukkan apakah prosesnya benar-benar berjalan atau hanya formalitas, dan pada saat yang sama memberi bahan untuk menjelaskan prioritas ke pihak yang memegang anggaran.

Kenapa CVE lama masih muncul di katalog?

Karena katalog mencatat bukti eksploitasi, bukan tanggal publikasi kerentanan. Sebuah CVE dari 2015 bisa masuk katalog pada 2026 jika baru pada tahun itu ada laporan eksploitasi aktif yang terverifikasi, biasanya karena perangkat lama masih banyak terpasang atau karena eksploitasi Massal baru ditemukan.

Pola ini juga terjadi pada entri yang ditambahkan 8 Oktober 2026. CVE-2015-3306 pada ProFTPD, CVE-2015-5477 pada ISC BIND, dan CVE-2016-3081 pada Apache Struts semuanya berumur satu dekade atau lebih, tetapi baru masuk katalog pada tanggal tersebut. Artinya, keberadaan perangkat lunak lama di jaringan tetap menjadi jalur masuk yang dipakai, meskipun patch-nya sudah tersedia sangat lama.

Bagi operator, implikasinya bukan sekadar rajin menambal, tetapi juga menutup layanan yang tidak lagi dipakai. Server FTP lama yang masih menyala untuk satu kebutuhan sesekali adalah contoh klasik: biaya menjaganya tetap kecil, tetapi biaya jika dieksploitasi jauh lebih besar. Menonaktifkan layanan yang tidak dibutuhkan sering kali lebih murah daripada memelihara patch-nya.

Ada satu pemeriksaan yang murah dan sering memberi temuan: daftar port yang terbuka ke internet. Setiap port yang terbuka adalah permukaan yang harus dicocokkan dengan katalog, dan port yang tidak lagi punya pemilik jelas biasanya juga tidak punya jadwal patch. Menutupnya lebih dulu, lalu mendokumentasikan alasan penutupan, mengurangi pekerjaan pemantauan pada pekan berikutnya.

Hal serupa berlaku untuk perangkat yang sudah tidak menerima pembaruan vendor. Jika sebuah perangkat sudah berada di luar masa dukungan dan masih menghadap internet, katalog KEV akan terus memuat kerentanan yang tidak mungkin ditambal di perangkat itu. Pada kondisi tersebut, satu-satunya mitigasi yang tersisa adalah memindahkannya ke belakang lapisan akses terbatas atau menggantinya.

FAQ

Apakah semua CVE di katalog KEV harus segera ditangani?

Untuk organisasi di luar cakupan aturan federal Amerika Serikat, tidak ada tenggat mengikat. Namun karena setiap entri sudah terbukti dieksploitasi, entri yang menyentuh layanan menghadap internet sebaiknya ditangani lebih dulu daripada kerentanan berskor tinggi yang belum pernah dieksploitasi.

Berapa jumlah entri katalog pada November 2026?

Berkas katalog versi 2026.11.04 yang terbit 4 November 2026 memuat 1.768 entri. Angka ini berubah setiap kali CISA menambahkan kerentanan baru, sehingga jumlah yang dibaca hari ini bisa berbeda dengan jumlah pada pekan berikutnya.

Apakah katalog ini mencakup seluruh kerentanan yang ada?

Tidak. Katalog hanya memuat kerentanan yang sudah terbukti dieksploitasi di lapangan. Sebagian besar CVE yang terbit setiap tahun tidak pernah masuk katalog karena tidak ada bukti eksploitasi aktif, meskipun tetap perlu ditangani sesuai kebijakan masing-masing organisasi.

Bagaimana memantau katalog tanpa membaca seluruh isinya?

Unduh feed JSON resmi secara berkala, lalu bandingkan tanggal penambahan dengan pemeriksaan sebelumnya. Selisihnya biasanya hanya beberapa entri. Cocokkan entri baru itu dengan inventaris perangkat dan versi yang berjalan, sehingga yang dibaca hanya bagian yang relevan.