文章总结： CISA2025年KEV清单新增245个已遭利用漏洞，总数达1484个，年增20%创三年新高；其中24个被用于勒索攻击，CitrixBleed2与OracleE-Business系列漏洞成焦点。老旧漏洞仍被利用，最老可追溯至2002年。常见缺陷类型涵盖OS命令注入、反序列化、路径遍历等，联邦机构与企业应持续监控KEV以优先修补高危漏洞。 综合评分： 82 文章分类： 漏洞预警,威胁情报,安全运营,数据安全,网络安全

CISA KEV 清单共收录1048个已遭利用漏洞，2025年增长20%

Ionut Arghire

代码卫士

2026年1月6日 17:54 北京

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

CISA目前已收录总计1484个已遭在野利用的软硬件漏洞。在2025年期间，CISA 将245个漏洞纳入 KEV 清单，其中24个漏洞被用于勒索攻击中。

自2021年11月公开发布起，CISA KEV 清单上的漏洞数量呈稳步增长态势，2025年是其在3年间扩展最快的一年，增长率达到20%。网络安全公司 Cyble 解释称，“自该数据库首次发布后的最初新增漏洞激增后，该清单在2023年和2024年的增长保持稳定状态，总计分别收录187和185个漏洞。”

2025年新增的多数漏洞虽然是新漏洞，但CISA并未忽视更老旧的漏洞。去年，CISA 将2024年和以前年份披露的94个漏洞纳入清单中。2025年纳入的最老旧漏洞是位于微软 Office 中的远程代码执行漏洞CVE-2007-0671。

正如 Cyble 公司提到的，“清单中最老旧的漏洞仍然是2002年的漏洞CVE-2002-0367，它是位于 Windows NT 和 Windows 2000 smss.exe 调试子系统中的一个提权漏洞，已被用于勒索攻击中。”

在遭勒索攻击利用的24个漏洞中，因利用范围广泛，CitrixBleed2（CVE-2025-5777）和Oracle E-Business（CVE-2025-61882和CVE-2025-61884）脱颖而出。Fortinet、Ivanti、微软、Mitel、SAP和SonicWall 产品中的新漏洞也遭勒索攻击利用。

分析发现，在2025年的新增漏洞中，OS命令注入、不受信任数据的反序列化、路径遍历、释放后使用、越界写、XSS、代码注入和身份验证不当是最常见的漏洞类型。美国联邦政府机构、规模各异的组织机构以及软件开发人员都应当监控KEV清单，更好地保护自身环境的安全，并更好地了解威胁人员最常利用的漏洞。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

CISA 将已遭利用的 Digiever NVR RCE漏洞纳入KEV

React2Shell：30家机构已受陷77k IP地址易受影响，被列入 CISA KEV

速修复！思科ASA 两个0day漏洞已遭利用，列入 CISA KEV 清单

CISA 将TP-Link 路由器高危漏洞纳入KEV

CISA将Erlang SSH 和 Roundcube 加入KEV清单

原文链接

https://www.securityweek.com/cisa-kev-catalog-expanded-20-in-2025-topping-1480-entries/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 “赞” 吧~

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：代码卫士 Ionut Arghire《CISA KEV 清单共收录1048个已遭利用漏洞，2025年增长20%》