CISA (ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı), aktif olarak istismar edildiği kanıtlanan bir güvenlik açığını Known Exploited Vulnerabilities (KEV) Kataloğu'na ekledi. Bu açık, Microsoft SharePoint'te bulunan CVE-2026-45659 kodlu 'Deserialization of Untrusted Data' (Güvenilmeyen Verinin Serileştirilmesi) zafiyetidir. Bu tür güvenlik açıkları, siber saldırganlar tarafından sıkça kullanılan saldırı vektörleridir ve federal kurumlar için ciddi riskler oluşturmaktadır.
Bağlayıcı Operasyonel Direktif (BOD) 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için risk temelli güvenlik güncellemelerinin önceliklendirilmesini zorunlu kılmaktadır. Bu direktif, KEV Kataloğu'nun önemini vurgulayarak, federal kurumların yüksek riskli güvenlik açıklarını (özellikle CISA'nın KEV Kataloğu'nda listelenen, kamuya açık varlıklarda istismar sonrası tam kontrol sağlayan CVE'ler) hızlı bir şekilde gidermesini, düşük riskli açıklar için ise eylemi ertelemesini şart koşmaktadır. Ayrıca, yama uygulanmadan önce tehdit aktörlerinin sistemi tehlikeye atıp atmadığının kontrol edilmesi gereken temel beklentileri de belirlemektedir.
BOD 26-04 yalnızca FCEB kurumları için geçerli olsa da, CISA tüm kuruluşları risk temelli güvenlik açığı yönetimini benimsemeye ve KEV Kataloğu'ndaki açıkların düzeltilmesine öncelik vermeye teşvik etmektedir. CISA, belirlenen kriterleri karşılayan güvenlik açıklarını kataloğa eklemeye devam edecektir. KEV Kataloğu'nda henüz listelenmemiş ancak istismar edildiği bilinen bir güvenlik açığı varsa, CISA'nın KEV Adaylık Formu aracılığıyla potansiyel ekleme için başvuruda bulunulabilir.
Potansiyel KEV eklemeleri için bir CVE kimliği, istismar kanıtı ve net bir azaltma rehberi gerekmektedir. Kuruluşların, özellikle kamuya açık sistemlerde bu tür açıkları hızla kapatması, siber saldırılara karşı savunmada kritik öneme sahiptir. CISA'nın bu hamlesi, aktif olarak kullanılan zafiyetlerin takibinin ve hızlı müdahalenin önemini bir kez daha ortaya koymaktadır.
