CISA KEV: Pengertian dan Cara Memakainya untuk Prioritas Patch

CISA KEV, singkatan dari Known Exploited Vulnerabilities, adalah katalog kerentanan yang terbukti sudah dieksploitasi di dunia nyata dan dikelola oleh badan keamanan siber Amerika Serikat, CISA. Daftar ini sangat berguna sebagai sinyal prioritas patch bagi tim IT di mana pun, termasuk di Indonesia, bila dipakai bersama skor CVSS dan EPSS. Artikel ini menjelaskan isinya dan cara memakainya per 29 Oktober 2026.

Apa itu CISA KEV

CISA menyebut katalog ini sebagai sumber otoritatif untuk kerentanan yang telah dieksploitasi di alam liar, dan menganjurkan organisasi memakainya sebagai masukan bagi kerangka prioritas manajemen kerentanan. Sebuah CVE masuk ke KEV ketika ada bukti eksploitasi, ada ID CVE, dan ada panduan mitigasi yang jelas. Itulah tiga kriteria yang tercantum pada halaman kriteria KEV milik CISA. Pemindaian, riset keamanan, atau PoC publik saja tidak dihitung sebagai bukti eksploitasi. Entri baru bisa diusulkan lewat formulir nominasi.

Setiap entri memuat bidang-bidang berikut menurut berkas data katalog: ID CVE, vendor atau proyek, produk, nama dan deskripsi kerentanan, CWE terkait, apakah dikenal dipakai dalam kampanye ransomware, apakah triase forensik diperlukan, tanggal ditambahkan, tenggat waktu, tindakan yang diminta, dan catatan tambahan. Data tersedia dalam format CSV dan JSON sehingga mudah dicocokkan dengan inventaris aset secara otomatis. Jika Anda belum memahami ID dan skor, baca dulu Apa Itu CVE dan cara membaca skor CVSS.

Dari BOD 22-01 ke BOD 26-04

KEV lahir dari Binding Operational Directive 22-01 pada November 2021. Menurut halaman resmi CISA, BOD 26-04 ("Prioritizing Security Updates Based on Risk") yang terbit 10 Juni 2026 menggantikan dan mencabut BOD 22-01 serta BOD 19-02, lalu menyatukan pedoman remediasi kerentanan bagi lembaga federal. Urgensi remediasi kini ditentukan oleh empat variabel: apakah aset terpapar publik, apakah CVE ada di KEV, apakah eksploitasinya bisa diotomatiskan, dan seberapa besar kendali yang didapat penyerang. Kriteria masuk KEV tidak berubah. Beberapa poin penting dari BOD 26-04:

• Ia berlaku bagi lembaga eksekutif sipil federal AS, bukan bagi swasta atau pemerintah negara lain. Bagi organisasi di Indonesia, tenggat KEV adalah patokan, bukan kewajiban hukum.
• Jam mulai berjalan sejak yang lebih awal di antara dua peristiwa: CVE ditambahkan ke KEV, atau lembaga menemukan kerentanan itu di asetnya.
• Tenggat bersifat dinamis: mencabut sistem dari internet dapat menggeser tenggatnya, sedangkan entri KEV baru dapat memperpendeknya.
• Untuk kombinasi risiko tertentu yang dalam tabel tenggat ditandai "& forensic triage", lembaga harus menyelesaikan remediasi atau mitigasi dalam tiga hari dan melakukan triase forensik untuk memeriksa apakah aset sudah terkompromi. Berkas data KEV kini juga memuat kolom yang menandai entri dengan kebutuhan triase forensik.

Pesan terakhir ini penting untuk siapa pun: untuk celah yang sudah dieksploitasi, menambal saja tidak cukup, aset perlu diperiksa untuk tanda kompromi.

Contoh membaca tenggat KEV

Versi katalog yang dirilis 28 Oktober 2026 memberi contoh yang jelas: PHP2Shell CVE-2026-109619 ditambahkan 26 Oktober dengan tenggat 29 Oktober (tiga hari) dan ditandai perlu triase forensik, sedangkan CVE-2026-41709 pada Broadcom VMware ESX ditambahkan 28 Oktober dengan tenggat 11 November (dua minggu). Perbedaan tenggat mencerminkan tingkat risiko menurut variabel BOD 26-04, dan keduanya menunjukkan bahwa jendela untuk bereaksi bisa sangat pendek. Kolom "Known To Be Used in Ransomware Campaigns?" pada entri-entri itu bernilai "Unknown", yang berarti belum ada informasi, bukan berarti aman.

KEV, CVSS, dan EPSS: tiga sinyal yang saling melengkapi

• CVSS mengukur tingkat keparahan teknis sebuah celah, bukan kemungkinan dieksploitasi. Skor tinggi tidak otomatis berarti sedang diserang.
• EPSS dari FIRST adalah model pembelajaran mesin yang memperkirakan peluang sebuah CVE dieksploitasi dalam 30 hari ke depan. Skornya 0 sampai 1 dengan persentil, diperbarui setiap hari, dan datanya gratis.
• KEV menjawab pertanyaan yang paling mendesak: apakah celah ini sudah benar-benar dipakai? Jika ya, ia naik ke antrean paling atas.

Sebagai contoh nyata, Livewire CVE-2025-54068 memiliki skor 9.2 (CVSS 4.0) menurut advisori GitHub dan 9.8 (CVSS 3.1) menurut NVD, EPSS sekitar 0,963 atau 96,3 persen (persentil sekitar 99,9) menurut data FIRST per 28 Oktober 2026, dan tercatat di KEV. Ketiga sinyal sejalan. Perhatikan juga bahwa advisori tersebut dipublikasikan pada 17 Juli 2025, sementara pembaruan advisori yang menautkan KEV terjadi pada 20 Maret 2026. Artinya sebuah CVE bisa baru masuk KEV berbulan-bulan setelah advisori terbit, dan sinyal lain seperti EPSS dapat membantu menandai risiko sebelum itu.

Cara memakai KEV untuk prioritas patch

1. Siapkan inventaris. Tanpa daftar produk dan versi (atau SBOM), Anda tidak bisa mencocokkan apa pun. Itu langkah nol.
2. Otomatiskan pencocokan. Unduh JSON KEV secara berkala dan cocokkan vendor dan produk dengan inventaris Anda. Beri peringatan ke tim terkait setiap ada entri baru yang cocok.
3. Tetapkan aturan eskalasi. Misalnya: KEV pada aset yang menghadap internet adalah darurat, KEV pada aset internal adalah prioritas tinggi, lalu EPSS tinggi dan CVSS tinggi di tingkat berikutnya.
4. Periksa kompromi setelah menambal. Terutama untuk perangkat edge dan platform yang menyimpan rahasia. Contoh rangkuman ada di rangkuman celah dieksploitasi 2026.
5. Catat pengecualian. Jika patch tidak mungkin, dokumentasikan mitigasi sementara, penanggung jawab, dan tanggal tinjau ulang. Proses lengkapnya ada di panduan patch management berbasis risiko.

Keterbatasan KEV yang perlu Anda tahu

• KEV adalah daftar minimum, bukan daftar lengkap. Celah yang belum masuk bisa saja sudah dieksploitasi, termasuk zero-day. Pahami konsep zero-day agar tidak mengandalkan KEV semata.
• Katalog berfokus pada kebutuhan lembaga federal AS, jadi produk lokal atau regional yang banyak dipakai di Indonesia bisa kurang terwakili.
• Entri butuh bukti eksploitasi, sehingga ada jeda antara serangan pertama dan masuknya entri.
• Satu entri tidak memberi tahu konteks bisnis Anda: apakah aset itu menyimpan data sensitif, apakah terhubung ke internet. Itu tetap tugas tim Anda.

Pertanyaan yang Sering Diajukan

Apakah organisasi di Indonesia wajib mengikuti tenggat KEV?

Tidak. BOD 26-04 hanya mengikat lembaga federal AS. Namun tenggat itu referensi yang baik untuk menetapkan SLA internal Anda.

Apakah KEV menggantikan CVSS?

Tidak. CVSS menilai keparahan, KEV menunjukkan eksploitasi nyata. Pakai keduanya, ditambah EPSS dan konteks aset Anda.

Bagaimana cara mendapat notifikasi entri baru?

Ikuti peringatan CISA tentang penambahan KEV atau unduh berkas JSON/CSV secara terjadwal, lalu cocokkan dengan inventaris Anda.

Kesimpulan

CISA KEV membantu Anda berhenti menebak dan mulai menambal apa yang benar-benar diserang. Gabungkan dengan CVSS, EPSS, dan pengetahuan tentang aset Anda sendiri. Jika tim Anda ingin membangun proses manajemen kerentanan yang rapi, lihat pelatihan Linuxhackingid. Rujukan resmi: katalog KEV CISA, BOD 26-04, dan halaman EPSS dari FIRST.