CISAs KEV-katalog voksede med 20 pct i 2025

Det amerikanske cybersikkerhedsagentur CISA har offentliggjort, at deres Known Exploited Vulnerabilities (KEV)-katalog voksede markant i 2025. 245 nye sårbarheder blev tilføjet sidste år, hvilket bringer det samlede antal til 1.484 kendte software- og hardwarefejl, der aktivt udnyttes af trusselsaktører. Det svarer til en stigning på næsten 20 pct i forhold til året før. 

Det skriver Cyble.

Efter en kraftig start i 2021 stabiliserede væksten sig i 2023 og 2024 med omkring 185 nye sårbarheder årligt. Men i 2025 tog udviklingen fart igen: 245 nye CVE’er blev tilføjet, hvilket er over 30 pct mere end de foregående år.  

Ældre sårbarheder vender tilbage

Cyble skriver om listen, at KEV-kataloget ikke – i modsætning hvad man ellers skulle tro – kun indeholder nye sårbarheder. Antallet af ældre sårbarheder, der blev tilføjet i 2025, også steg. 94 sårbarheder fra 2024 og tidligere blev tilføjet – hvilket er en stigning på 34 pct i forhold til året før. Den ældste nye tilføjelse var CVE-2007-0671 (Microsoft Excel RCE), mens den ældste i kataloget stadig er fra 2002 (CVE-2002-0367), som har været brugt i ransomwareangreb.

Det er bemærkelsesværdigt, ikke mindst taget i betragtning at listen over fundne sårbarheder i 2025 steg til knap 50.000, hvilket repræsenterer en stigning på mellem 20 og 22 pct.. Det endelige tal er endnu ikke tilgængelig, men en graf med det foreløbige tal kan ses på FIRSTs hjemmeside.

Ransomware fortsætter med at dominere

Af de nye tilføjelser i 2025 blev 24 sårbarheder markeret som udnyttet af ransomwaregrupper. Blandt dem er kendte navne som:

• CVE-2025-5777 – Citrix NetScaler ADC og Gateway (CitrixBleed 2)
• CVE-2025-10035 – Fortra GoAnywhere MFT
• Flere Microsoft SharePoint-fejl og Oracle E-Business Suite-sårbarheder, som bl.a. CL0P-gruppen har udnyttet.

 Microsoft topper igen listen med 39 nye KEV-sårbarheder i 2025, efterfulgt af Apple (9), Cisco (8), Fortinet (8) og Google Chromium (7). Flere leverandører som Adobe, Ivanti og VMware oplevede et fald i antallet af nye KEV-tilføjelser, hvilket ifølge Cyble kan indikere bedre sikkerhedskontrol.

De mest almindelige svagheder

CISA fremhæver otte Common Weakness Enumerations (CWEs), der gik igen i 2025:

• CWE-78 – OS Command Injection (18 tilfælde)
• CWE-502 – Deserialization of Untrusted Data (14 tilfælde)
• CWE-22 – Path Traversal (13 tilfælde)
• CWE-416 – Use After Free (11 tilfælde)

Nye på listen er CWE-787 (Out-of-bounds Write), CWE-79 (XSS) og CWE-94 (Code Injection).