CISA добавила две новые уязвимости, CVE-2026-102489 и CVE-2026-102490, в свой каталог известных эксплуатируемых уязвимостей (KEV) из-за активной эксплуатации. Эти уязвимости в программном обеспечении Zammad GmbH представляют собой значительный риск для кибератак. Обязательная оперативная директива (BOD) 26-04 требует от федеральных гражданских исполнительных органов (FCEB) приоритизировать устранение уязвимостей высокого риска. В частности, эта директива предписывает быстрое обновление уязвимостей, перечисленных в каталоге KEV, которые после эксплуатации обеспечивают полный контроль над активом. BOD 26-04 также излагает требования к агентствам проверять наличие компрометации до применения исправлений. Хотя BOD 26-04 применима исключительно к агентствам FCEB, CISA рекомендует всем организациям внедрять управление уязвимостями на основе рисков. CISA будет продолжать обновлять каталог KEV уязвимостями, соответствующими их критериям. Организации могут номинировать эксплуатируемые уязвимости, которых еще нет в списке, используя форму номинации KEV от CISA. Номинированные уязвимости должны иметь идентификатор CVE, доказательство эксплуатации и доступные меры по смягчению последствий.