De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft een nieuwe meldingsroute geopend waarmee ook externe onderzoekers kwetsbaarheden kunnen rapporteren voor de Known Exploited Vulnerabilities (KEV) catalogus. Deze catalogus bevat software- en hardwarekwetsbaarheden die actief worden misbruikt en waarvoor snelle patching noodzakelijk is.

Met de introductie van een nomination form kunnen onderzoekers, leveranciers en partners nu eenvoudig kwetsbaarheden aanmelden, inclusief bewijs van exploitatie. Volgens Chris Butera, waarnemend uitvoerend assistent-directeur Cybersecurity bij CISA, versterkt deze nieuwe mogelijkheid het vermogen van CISA om bedreigingen snel te identificeren, valideren en te delen. Vroege detectie en gecoördineerde melding zijn cruciaal om risico’s op grote schaal te verminderen.

De KEV-catalogus, die sinds 2021 bestaat, dient als een gezaghebbende lijst voor federale cybersecurityverdedigers om prioriteit te geven aan het patchen van kwetsbaarheden die door kwaadwillenden worden benut. Organisaties die kwetsbaarheden uit de KEV-catalogus aanpakken, doen dit gemiddeld 3,5 keer sneller dan bij andere bugs. Dit is vooral belangrijk nu AI het tempo van ontdekking en exploitatie van kwetsbaarheden versnelt.

Voorheen accepteerde CISA meldingen alleen via e-mail, maar het nieuwe formulier vereist gedetailleerde informatie en maakt het proces transparanter. Robert Costello, voormalig CIO van CISA, benadrukt dat deze gestandaardiseerde aanpak de samenwerking met de cybersecuritygemeenschap praktisch operationaliseert en leidt tot snellere toevoegingen aan de KEV en daarmee tot snellere verdediging in het hele ecosysteem.

Het melden van kwetsbaarheden aan CISA is volgens de organisatie essentieel voor de nationale cybersecurity, omdat het helpt om kwetsbaarheden vroegtijdig te ontdekken, verantwoord te communiceren en snel te mitigeren binnen federale, private en kritieke infrastructuurnetwerken.