CISA aggiunge tre vulnerabilità sfruttate al catalogo KEV

Le tre falle riguardano Cisco, Windows e Metabase

CISA ha inserito nel catalogo Known Exploited Vulnerabilities (KEV) tre vulnerabilità per le quali dispone di evidenze di sfruttamento attivo:

• CVE-2026-20349, una falla di heap inspection in Cisco Secure Firewall Adaptive Security Appliance (ASA) e Firewall Threat Defense (FTD);
• CVE-2026-68820, una vulnerabilità use-after-free nell’Ancillary Function Driver for WinSock di Microsoft Windows;
• CVE-2026-72898, una vulnerabilità di SQL injection nella piattaforma Metabase.

Le versioni esatte dei prodotti coinvolti non sono state rese note.

Perché l’inserimento nel catalogo KEV è rilevante

La presenza nel catalogo KEV indica che le vulnerabilità non sono soltanto teoriche: esistono evidenze di attacchi reali o tentativi di sfruttamento.

Il brief non specifica quale risultato operativo produca lo sfruttamento di ciascuna CVE. In generale, però, una compromissione di firewall, sistemi Windows o piattaforme esposte con accesso ai database può avere conseguenze rilevanti sull’integrità e sulla disponibilità degli ambienti colpiti.

La direttiva BOD 26-04: Prioritizing Security Updates Based on Risk considera particolarmente rischiose le vulnerabilità KEV presenti su asset pubblicamente esposti quando possono consentire il controllo completo del sistema.

Indicazioni per le organizzazioni

Le agenzie federali Federal Civilian Executive Branch (FCEB) devono applicare i requisiti di gestione previsti dalla BOD 26-04 e accelerare la remediation delle falle ad alto rischio.

In particolare, devono:

1. individuare gli asset pubblicamente esposti che utilizzano Cisco ASA, Cisco FTD, Windows o Metabase;
2. dare priorità alle CVE KEV che possono portare al controllo totale dell’asset;
3. applicare gli aggiornamenti disponibili secondo le indicazioni dei rispettivi produttori;
4. verificare, prima della patch, se eventuali attori ostili abbiano già compromesso i sistemi.

Non sono state indicate nel dettaglio patch, workaround o indicatori di compromissione specifici per le tre vulnerabilità.

CISA raccomanda anche alle organizzazioni non appartenenti alla FCEB di adottare una gestione del rischio basata sul catalogo KEV, trattando queste vulnerabilità come priorità operative e non come semplici aggiornamenti ordinari.

Come vengono proposte nuove vulnerabilità al catalogo

CISA accetta candidature attraverso il KEV Nomination Form. Ogni segnalazione deve contenere:

• l’identificativo CVE;
• prove dello sfruttamento;
• indicazioni di mitigazione chiare.

Solo le vulnerabilità corredate da evidenze adeguate possono essere valutate per un possibile inserimento nel catalogo.