CISA добавила в каталог KEV уязвимости Fortinet и BeyondTrust

Две уязвимости добавили в каталог CISA

Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло две новые уязвимости в каталог известных эксплуатируемых уязвимостей (KEV). Решение основано на подтвержденных данных об их активной эксплуатации злоумышленниками. Уязвимости такого типа часто используются для атак и представляют значительный риск для федеральных систем.

Fortinet Multiple Products Path Traversal Vulnerability и BeyondTrust Remote Support Authentication Bypass by Spoofing Vulnerability

Первая уязвимость получила идентификатор CVE-2025-61624. Она затрагивает различные продукты компании Fortinet и позволяет осуществлять обход каталогов. Вторая уязвимость — CVE-2026-102764 — касается продукта BeyondTrust Remote Support. Она позволяет обойти аутентификацию путем спуфинга.

Федеральные агентства должны приоритизировать исправления

Директива CISA BOD 26-04 устанавливает требования к управлению уязвимостями для федеральных гражданских исполнительных органов США. Директива подчеркивает важность каталога KEV и требует от агентств оперативно устранять высокорисковые уязвимости. Особое внимание уделяется уязвимостям из каталога KEV, которые находятся на общедоступных активах и предоставляют полный контроль над системой после эксплуатации. Уязвимости с меньшим риском подлежат отложенному исправлению. Директива также определяет ожидания относительно проверки систем на компрометацию до установки патча.

Организации должны управлять рисками и сообщать об эксплуатации

Хотя директива BOD 26-04 обязательна только для федеральных агентств, CISA рекомендует всем организациям применять подход к управлению уязвимостями, основанный на оценке рисков. Приоритет следует отдавать устранению уязвимостей из каталога KEV. CISA продолжит добавлять в каталог уязвимости, соответствующие установленным критериям. Организации, обнаружившие эксплуатируемую уязвимость, не включенную в каталог KEV, могут подать заявку на ее добавление через специальную форму CISA. Кандидаты на включение в KEV должны иметь идентификатор CVE, доказательства эксплуатации и четкие инструкции по устранению.