CISA добавила критическую уязвимость внедрения кода в Gitea, CVE-2026-60004, в свой каталог известных уязвимостей (KEV) из-за активной эксплуатации. Этот тип уязвимости является распространенным методом атаки для злоумышленников и представляет серьезные риски. Оперативная директива (BOD) 26-04 предписывает федеральным гражданским исполнительным органам (FCEB) приоритизировать обновления безопасности для уязвимостей, перечисленных в каталоге KEV. Эта директива подчеркивает быстрое устранение уязвимостей высокого риска на общедоступных активах, которые предоставляют полный контроль после эксплуатации. BOD 26-04 также устанавливает требования для агентств проверять системы на предмет компрометации перед применением исправлений. Хотя директива конкретно нацелена на агентства FCEB, CISA призывает все организации внедрять управление уязвимостями на основе рисков. Организациям рекомендуется приоритизировать исправление уязвимостей, обнаруженных в каталоге KEV. CISA будет продолжать добавлять уязвимости, соответствующие критериям активной эксплуатации. Если известная, но еще не включенная в каталог KEV уязвимость эксплуатируется, она может быть номинирована для добавления. Номинации требуют идентификатор CVE, доказательства эксплуатации и четкую информацию о смягчении последствий.