About the KEV catalog and BOD 26-04
The Known Exploited Vulnerabilities (KEV) catalog is maintained by the U.S. Cybersecurity and Infrastructure Security Agency (CISA). A CVE only enters the catalog when CISA has reliable evidence that it is being actively exploited in the wild. That makes KEV the shortest, highest-signal patch list in security: roughly 1,800 entries out of more than 300,000 published CVEs.
Deadlines: BOD 26-04
CISA Binding Operational Directive 26-04 requires U.S. federal civilian agencies to remediate KEV entries by the due date printed on each entry. The directive replaced BOD 22-01 in June 2026 with a risk-based model: the shortest window - three days - applies to exposed, exploited, automatable vulnerabilities that give an attacker full control. Private organizations are not legally bound by BOD 26-04, but most security frameworks treat the same dates as the practical deadline, and auditors increasingly ask for KEV evidence by due date.
How to use this site
Paste any CVE ID into the checker on the homepage - one at a time, or a whole list with the bulk checker. If a CVE is on the list, you get the date it was added, the federal due date with a live countdown, whether CISA flags it for ransomware campaigns, the EPSS probability that it will be exploited in the next 30 days, how long it took to go from publication to KEV listing, and the action CISA requires. If it is not on the list, the checker says so plainly, with the catalog version it checked against.
Who runs this site
Is It On KEV? is a FORAGE WITH ME LLC property, built and maintained by the team behind TrebSec. It is an independent reference tool and is not affiliated with CISA or FIRST. How the data is built is documented on the Method page.
Corrections
If a page shows a wrong date, score, or entry, tell us at james@trebsec.com with the CVE ID and what looks wrong. Verified corrections are applied in the next daily sync, and material errors are noted on the Method page. Our full corrections policy is on the Method page.
Sobre el catálogo KEV y la directiva BOD 26-04
El catálogo de Vulnerabilidades Conocidas Explotadas (KEV) lo mantiene la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA). Un CVE solo entra al catálogo cuando CISA tiene evidencia confiable de que está siendo explotado activamente. Eso convierte a KEV en la lista de parcheo más corta y de mayor señal en seguridad: unas 1,800 entradas de más de 300,000 CVE publicados.
Fechas límite: BOD 26-04
La Directiva Operativa Vinculante 26-04 de CISA exige a las agencias civiles federales de EE. UU. remediar las entradas KEV antes de la fecha límite indicada en cada entrada. La directiva reemplazó a BOD 22-01 en junio de 2026 con un modelo basado en riesgo: la ventana más corta, tres días, aplica a vulnerabilidades expuestas, explotadas y automatizables que dan control total al atacante. Las organizaciones privadas no están obligadas legalmente por BOD 26-04, pero la mayoría de los marcos de seguridad trata esas mismas fechas como el plazo práctico.
Cómo usar este sitio
Pega cualquier ID de CVE en el verificador de la página principal, uno a uno o una lista completa con el verificador masivo. Si está en la lista, verás la fecha de ingreso, la fecha límite federal con cuenta regresiva en vivo, si CISA lo marca por uso en ransomware, la probabilidad EPSS de explotación en los próximos 30 días, cuánto tardó de la publicación al ingreso a KEV y la acción requerida por CISA. Si no está en la lista, el verificador lo dice claramente, con la versión del catálogo consultada.
Quién opera este sitio
Is It On KEV? es una propiedad de FORAGE WITH ME LLC, creada y mantenida por el equipo detrás de TrebSec. Es una herramienta de referencia independiente, sin afiliación con CISA ni FIRST. El método de construcción de los datos está documentado en la página de Método.
Correcciones
Si una página muestra una fecha, puntuación o entrada incorrecta, escríbenos a james@trebsec.com con el ID del CVE y lo que parece incorrecto. Las correcciones verificadas se aplican en la siguiente sincronización diaria. La política completa de correcciones está en la página de Método.