CISAは、既知の悪用された脆弱性（KEV）カタログに3つの新しい脆弱性を追加しました。これには、2つのFortinet FortiSandbox OSコマンドインジェクション脆弱性と1つのMicrosoft SharePointデシリアライゼーション脆弱性が含まれます。これらの脆弱性はサイバーアクターによって積極的に悪用されており、重大なリスクをもたらします。バインディング運用指令（BOD）26-04は、連邦民間執行機関に対し、KEVカタログに記載されている脆弱性の修正を優先することを義務付けています。この指令は、悪用後に完全な制御を付与する公開されている資産上の高リスク脆弱性に対処することを強調しています。BOD 26-04はまた、パッチ適用前に侵害がないか確認するよう機関に期待を寄せています。BOD 26-04は特に連邦機関に適用されますが、CISAはすべての組織に同様のリスクベースの脆弱性管理を採用することを推奨しています。CISAは、脆弱性が特定され悪用されるにつれて、KEVカタログに脆弱性を追加し続けます。組織は、CVE ID、悪用の証拠、および緩和ガイダンスがある場合、潜在的なKEVの追加をCISAに提出できます。