Method, sources, and corrections
Sources
Vulnerability data: the CISA Known Exploited Vulnerabilities JSON feed (https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json), published by the U.S. Cybersecurity and Infrastructure Security Agency. KEV data is a U.S. Government work and is in the public domain.
Exploit probability: the FIRST EPSS daily scores file (model model_version:v2026.06.15,score_date:2026-11-11T12:00:22Z), published by the Forum of Incident Response and Security Teams (FIRST). EPSS estimates the probability that a CVE will be exploited in the wild in the next 30 days.
Publication dates: the CVE Program records served by CVE.org (cveawg), used for the computed "publication to KEV listing" lag on each page.
Sync cadence
This site rebuilds automatically once a day, at about 6:15 AM Eastern, from the live feeds above. Every page footer shows the KEV catalog version, the catalog release date, and the exact time of the last sync. Before anything is published, the generator validates the feed (schema fields present on at least 99% of entries, entry count inside a sanity band); a feed that fails validation is refused and the previous build stays live.
How the computed values work
Countdowns: the due-date countdown is computed in your browser from the CISA dueDate on the entry, so it is correct on the day you read it, not just the day the page was built. Publication-to-KEV lag: calendar days between the CVE record's publication date and the date CISA added it to KEV. Remediation window: calendar days between the KEV listing date and the CISA catalog due date. Vendor shares: simple counts over the current catalog, recomputed at every sync.
Corrections policy
Errors are reported to james@trebsec.com with the CVE ID and the suspected error. We check the report against the primary source (CISA feed, FIRST EPSS file, or CVE record). If the upstream source is wrong, we say so on the affected page rather than silently diverging from it; if our computation is wrong, we fix the generator and the fix ships in the next daily sync. Material corrections are logged here with dates. No corrections have been logged yet.
Ownership and affiliation
Is It On KEV? is a FORAGE WITH ME LLC property, built by the team behind TrebSec. It is not affiliated with, endorsed by, or operated by CISA, DHS, or FIRST. "CISA", "KEV", and "EPSS" are used descriptively to identify the data sources.
Método, fuentes y correcciones
Fuentes
Datos de vulnerabilidades: el feed JSON de Vulnerabilidades Conocidas Explotadas de CISA, publicado por la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. Los datos de KEV son una obra del Gobierno de EE. UU. y están en dominio público.
Probabilidad de explotación: el archivo diario de puntuaciones EPSS de FIRST (modelo model_version:v2026.06.15,score_date:2026-11-11T12:00:22Z). EPSS estima la probabilidad de que un CVE sea explotado en los próximos 30 días.
Fechas de publicación: los registros del Programa CVE servidos por CVE.org, usados para el cálculo "de publicación a ingreso a KEV" de cada página.
Cadencia de sincronización
Este sitio se reconstruye automáticamente una vez al día, alrededor de las 6:15 AM hora del Este, desde las fuentes anteriores. Cada página muestra al pie la versión del catálogo KEV, su fecha de publicación y la hora exacta de la última sincronización. Antes de publicar, el generador valida el feed; un feed que no supera la validación se rechaza y la versión anterior permanece en línea.
Cómo se calculan los valores
Cuentas regresivas: se calculan en tu navegador desde la fecha límite (dueDate) de CISA, así que son correctas el día que las lees. De publicación a KEV: días entre la fecha de publicación del registro CVE y la fecha en que CISA lo agregó a KEV. Ventana de remediación: días entre el ingreso a KEV y la fecha límite federal. Participación por proveedor: conteos simples sobre el catálogo actual, recalculados en cada sincronización.
Política de correcciones
Los errores se reportan a james@trebsec.com con el ID del CVE y el error sospechado. Verificamos el reporte contra la fuente primaria. Si la fuente original está equivocada, lo indicamos en la página afectada; si nuestro cálculo está equivocado, corregimos el generador y la corrección se publica en la siguiente sincronización diaria. Las correcciones importantes se registran aquí con fechas. Aún no se ha registrado ninguna corrección.
Propiedad y afiliación
Is It On KEV? es una propiedad de FORAGE WITH ME LLC, creada por el equipo detrás de TrebSec. No está afiliado ni respaldado por CISA, DHS o FIRST. "CISA", "KEV" y "EPSS" se usan de forma descriptiva para identificar las fuentes de datos.