CISA-nın KEV Kataloqunda Həyəcan Təbili: Aktiv İstismar Edilən Zəifliklərin Sayı 1,484-ə Çatdı, Artım 20% Təşkil Edir

Birləşmiş Ştatların Kiber Təhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) 2025-ci ilin dekabr ayına qədər Fəal İstismar Edilən Zəifliklər Kataloqunu (Known Exploited Vulnerabilities – KEV) 1,484 tənqidi boşluqla əhəmiyyətli dərəcədə genişləndirmişdir. Bu rəqəm, federal hökumətin aktiv istismar edilən təhlükəsizlik qüsurlarına qarşı mübarizə səylərində mühüm bir mərhələni göstərir.

2021-ci ilin noyabrında 311 zəifliklə başlayan bu hərtərəfli məlumat bazası, son dörd il ərzində ictimai və özəl sektor təşkilatlarını qarşısında duran getdikcə mürəkkəbləşən təhdid mənzərəsini əks etdirərək sürətlə böyümüşdür. Ən kritik məqam isə 2025-ci ildə KEV kataloquna 245 yeni zəifliyin əlavə edilməsidir ki, bu da illik 20% artım deməkdir və əvvəlki illərlə müqayisədə istismar fəaliyyətinin gücləndiyini təsdiqləyir.

Bu kəskin artım kiber təhdidlərin davamlı və inkişaf edən təbiətini vurğulayır. Zərərli aktyorlar geniş çeşidli proqram təminatı və avadanlıq platformalarında məlum zəiflikləri istismar etməyə davam edirlər. KEV kataloqu CISA-nın Məcburi Əməliyyat Direktivi (Binding Operational Directive – BOD) 22-01 çərçivəsində tənqidi bir resurs kimi xidmət edir. Bu direktiv Federal Mülki İcra Qolu (FCEB) agentliklərini siyahıdakı zəiflikləri müəyyən edilmiş müddətlər daxilində aradan qaldırmağa məcbur edir.

Texniki Detallar

CISA-nın KEV kataloqu, zəifliklərin idarə edilməsində ənənəvi Ümumi Zəiflik Qiymətləndirmə Sistemi (CVSS) ciddi qiymətləndirmələrindən kənara çıxaraq, diqqəti aktiv istismarının təsdiqlənmiş dəlilləri olan zəifliklərə yönəldir. Kataloq, təhdid aktyorlarının ictimai və ya özəl təşkilatları istismar etmək üçün bu zəifliklərdən fəal şəkildə istifadə etməsinə dair etibarlı kəşfiyyat məlumatlarına əsasən mütəmadi olaraq yenilənir.

KEV-ə daxil edilən hər bir zəiflik qeydi CVE identifikatoru, satıcı və məhsul təfərrüatları, aradan qaldırılması tələb olunan hərəkətlər və federal agentliklər üçün məcburi son tarix kimi kritik məlumatları əhatə edir. BOD 22-01-ə əsasən, federal agentliklər 2021-ci il və ya daha sonra CVE İD-ləri təyin olunmuş zəiflikləri kataloqa əlavə edildikdən sonra iki həftə ərzində aradan qaldırmalıdırlar.

**Zəifliklərin İnkişaf Trayektoriyası:
**
KEV kataloqunun böyümə sürəti, CISA-nın kəşfiyyat imkanlarının genişlənməsini əks etdirir:

• **2021:** 311 (Kataloqun başlanğıcı)
• **2022:** 555 əlavə (78% artım)
• **2023:** 187 əlavə
• **2024:** 186 əlavə
• **2025:** 245 əlavə (20% sürətlənmə)

**Ən çox rast gəlinən zəiflik tipləri (CWE):**

Kataloqda ən çox istismar edilən zəiflik tipləri, proqram təminatının inkişafında mövcud olan əsas təhlükəsizlik problemlərinə işarə edir. Qüsurların kateqoriyalaşdırılması üzrə liderlər bunlardır:

• **CWE-20 (Improper Input Validation):** 113 hadisə (7.6%). Proqram təminatının istifadəçi tərəfindən verilən məlumatı düzgün yoxlamaması.
• **CWE-78 (OS Command Injection):** 97 hadisə. Hücumçulara sistem səviyyəli əmrləri icra etməyə imkan verən qüsur.
• **CWE-787 (Out-of-bounds Write):** 96 hadisə. Yaddaşın korlanması ilə bağlı kritik məsələlər.

Təhlükənin Miqyası

2025-ci il KEV kataloqunun ən narahatedici tapıntılarından biri, bu zəifliklərin fidyə proqramı (ransomware) kampaniyalarındakı əhəmiyyətli roludur. Analizlər göstərir ki, 1,484 zəifliyin 304-ü (20.5%-i) fidyə proqramı qrupları tərəfindən fəal şəkildə istismar edilmişdir. 2025-ci ildə əlavə edilən 24 yeni zəiflik, o cümlədən CL0P qrupu tərəfindən hədəflənən yüksək profilli zəifliklər bu tendensiyanın artan təhlükəsini nümayiş etdirir.

**Vendor Paylanması və Hədəflər:**

KEV kataloqundakı zəifliklərin böyük bir hissəsi geniş yayılmış korporativ platformalara aiddir. Microsoft, 350 zəifliklə (ümumi kataloqun təxminən 24%-i) bütün satıcılara rəhbərlik edir. Bu, Microsoft-un əməliyyat sistemləri və korporativ tətbiqlər üzrə geniş bazar mövqeyinin təhdid aktyorları üçün cəlbedici hədəf olduğunu göstərir.

**Ən Çox Zəifliyi Olan Satıcılar (Ümumi Say):**

• **Microsoft:** 350 zəiflik (100-ü fidyə proqramı ilə əlaqəli)
• **Apple:** 86 zəiflik
• **Cisco:** 82 zəiflik
• **Adobe:** 76 zəiflik
• **Google:** 67 zəiflik

Microsoft, ən çox fidyə proqramı ilə əlaqəli zəifliklərə (100) malik olmaqla, Fortinet (13) və Oracle (11) kimi digər əsas korporativ satıcıları geridə qoyur. Bu rəqəmlər, geniş tətbiq edilən sistemlərdə vaxtında yamaq idarəetməsinin kritik əhəmiyyətini vurğulayır.

Tövsiyələr və Həll Yolları

CISA-nın KEV kataloqunun əhatə dairəsi federal agentliklərin məcburi tələblərindən kənara çıxır və bütün təşkilatlar üçün fəaliyyətə keçməyə çağıran kəşfiyyat resursu təqdim edir. Özəl sektor subyektlərinə, risk qiymətləndirmələrini nəzəri CVSS skorları əvəzinə, real dünyada istismar sübutlarına əsaslanaraq prioritetləşdirmək tövsiyə olunur.

**Təşkilatlar Üçün Əsas Prioritetlər:**

• **KEV-ə Əsaslanan Prioritetləşdirmə:** Təhlükəsizlik qrupları, ilkin olaraq KEV siyahısındakı zəiflikləri aradan qaldırmalıdırlar, çünki bunlar real hücum ehtimalı ən yüksək olanlardır.
• **Vaxtlı Yamaq İdarəetməsi:** Xüsusilə Microsoft, Oracle və Fortinet kimi əsas korporativ platformalar üçün yamaqların ən qısa müddətdə tətbiq edilməsi vacibdir.
• **Təhlükəsiz Kodlaşdırma Təcrübələri:** CWE-20 (Girişin Düzgün Olmaması) və CWE-78 (Əmr İnjeksiya) kimi əsas zəiflik siniflərinin yüksək yayılması, proqram təminatı inkişafında daha möhkəm təhlükəsizlik təlimlərinin və yaddaş təhlükəsizliyi dillərinin (memory-safe languages) tətbiqinin zəruriliyini göstərir.
• **Təhlükə Kəşfiyyatının İnteqrasiyası:** Darknet forumları kimi mənbələrdən daxil olan erkən xəbərdarlıq siqnallarından istifadə edərək proaktiv müdafiə mövqeyi yaratmaq.

Nəticə

CISA-nın 1,484 aktiv istismar edilən qüsuru əhatə edən KEV Kataloqu, təşkilatlar üçün nəzəri risklərdən fərqli olaraq, real təhdid kəşfiyyatına əsaslanan prioritetləşdirmə üçün həyati bir vasitədir. 2025-ci ildəki 20% artım, kiber təhdidlərin dinamikliyini və fidyə proqramı operatorları tərəfindən məlum zəifliklərin sürətli şəkildə silahlanmasını əks etdirir. Bütün təşkilatlar BOD 22-01-in ruhunu qəbul etməli, KEV-in aradan qaldırılmasını mütləq prioritetə çevirməli və beləliklə hücum səthlərini əhəmiyyətli dərəcədə azaltmalıdırlar.