Rok za popravku skraćen s 21 na tri dana: šta pokazuje CISA-in katalog ranjivosti

Katalog poznatih eksploatisanih ranjivosti američke agencije CISA ove godine ne raste samo po broju unosa. Mijenja se i sat. Do kraja 2025. godine savezne agencije su za većinu unosa imale 21 dan da ranjivost poprave, a od juna 2026. godine u 78 posto novih unosa rok je tri dana. Prosječan rok pao je s oko 20 na 9 dana. Istovremeno je u katalog ove godine stiglo 297 ranjivosti, 35 posto više nego u istom razdoblju 2025. godine.

Pojedinačni unosi u katalog djeluju kao rutinske vijesti o ranjivostima. Tek kad se zbroje rokovi, proizvođači i godine ranjivosti, vidi se da se katalog mijenja. Brojke dolaze iz podataka preuzetog 13. novembra 2026. godine, a metoda i ograničenja su na kraju teksta.

Ključno

• Rok: standardni rok od 21 dana nestao je iz kataloga. Zadnji put je dodijeljen 5. marta 2026. godine
• Svježe ranjivosti: 70 posto ovogodišnjih unosa ima CVE oznaku iz 2026. godine, naspram 62 do 65 posto u prethodne tri godine.
• Rubni uređaji: 79 posto unosa za firewalle, VPN-ove i slične uređaje ima rok od tri dana. Kod ostalih je to 44 posto.
• AI alati: 11 unosa za pet alata za razvoj AI sistema u 2026. godini, naspram jednog u 2025. godini.
• Ograničenje: rokovi vrijede za američke savezne agencije, a katalog bilježi samo ono što je CISA potvrdila kao iskorišteno.

Nalazi

Sat se ubrzao: s 21 dana na tri

Svaki unos u KEV katalog ima rok do kojeg ga savezne agencije moraju popraviti. Od 2023. do 2025. godine taj je rok u gotovo svim slučajevima iznosio 21 dan (u 2025. godini kod 226 od 245 unosa), a prosjek je ostao oko 20 dana. U 2026. godini prosjek je pao na 9 dana.

Prvi rok od tri dana pojavio se 27. januara ove godine, uz Fortinetovu ranjivost CVE-2026-24858. U martu je uobičajen postao rok od 14 dana, a zadnji rok od 21 dan dodijeljen je 5. marta. Tek 10. juna CISA je objavila direktivu BOD 26-04, koja rokove vezuje za rizik. Tri dana dobija ranjivost koju napadači već iskorištavaju, koja se može automatizovati i daje barem djelimičnu kontrolu nad sistemom izloženim internetu. Katalog je, dakle, direktivu pretekao za oko četiri i po mjeseca.

Od 10. juna do 13. novembra 128 od 164 novih unosa (78 posto) ima rok od tri dana, a preostalih 36 rok od 14 dana. Rok od 21 dan nije dodijeljen nijednom.

CISA u obrazloženju direktive navodi da AI olakšava automatizovano iskorištavanje. Federal News Network piše da se o roku od tri dana razgovaralo i da je povod, kako se navodi, bio Anthropicov model Claude Mythos. To je kontekst iz izvora, ne nalaz iz podataka.

Stručnjaci se ne slažu oko učinka. Tod Beardsley, bivši šef CISA-ine sekcije za odgovor na ranjivosti, upozorava da se uz kraći rok vrijeme do popravke može produžiti, jer agencije rokove i danas probijaju za sedmice ili mjesece. Hemant Baidwan, bivši CISO Ministarstva domovinske sigurnosti, kaže da je tri dana teško ostvariti, ali da je to nužno.

Više unosa, i to svježijih

U katalog je do 13. novembra stiglo 297 ranjivosti. To je 35 posto više nego u istom razdoblju za 2025. godinu (220) i već 21 posto više nego u cijeloj prošloj godini (245). Godine 2021. i 2022. brojke su veće (311 i 555), ali se katalog tada punio starim ranjivostima: 69 posto unosa iz 2022. godine imalo je CVE oznaku staru tri godine ili više. Smislenije je porediti godine od 2023.: 187, 186, 245 i 297. Septembar 2026. godine s 43 unosa najveći je mjesečni broj od juna 2022. godine.

Drugi obrazac je starost. Od 297 ovogodišnjih unosa, 209 (70 posto) nosi CVE oznaku iz 2026. godine. U 2023. godini je to bilo 65 posto, u 2024. godini 62, a u 2025. godini 62. Među unosima s rokom od tri dana udio je 85 posto (135 od 159). CVE oznaka pokazuje godinu dodjele, ne dan objave, pa je to samo gruba mjera svježine. Razlika prema 2025. je umjerena, oko osam procentnih poena, ali se poklapa s rokovima: najkraći rok dobijaju najsvježije ranjivosti.

Stare ranjivosti ipak nisu nestale. Devetnaest ovogodišnjih unosa ima CVE oznaku iz 2019. godine ili stariju. Pet njih, iz 2008. do 2010. godine (Windows, DirectX, Acrobat i dva za Internet Explorer), dodano je istog dana, 20. maja.

Tri dana ne dobija svako jednako

Proizvođače mrežne i sigurnosne opreme (Firewalli, VPN-ovi, ruteri, pristupnici) izdvojili smo u grupu „rubni uređaji“. Spisak je u dijelu o metodi. Takvih je unosa 81, odnosno 27 posto ovogodišnjih, naspram 23 posto u 2025. godini, 24 posto u 2024. godini i 20 posto u 2023. godini.

Razlika u rokovima je velika. Od 81 unosa za rubne uređaje, 64 (79 posto) ima rok od tri dana. Kod svih ostalih to je 95 od 216 (44 posto). Microsoft, s 41 unosom je najbrojniji proizvođač, ima samo 10 unosa s rokom od tri dana, 20 s rokom od 14 i 11 s rokom od 21 dan. To se uklapa u kriterije direktive, koja gleda izloženost internetu. Podaci, ipak, pokazuju samo da se raspodjele poklapaju, ne i kako CISA donosi odluku.

Najviše se istakao Cisco: 21 unos u 2026. godini naspram 8 u 2025. godini, a 15 od tih 21 ima rok od tri dana. Devet unosa odnosi se na proizvode iz porodice SD-WAN. Fortinet (9 unosa), Ivanti (8) i Citrix (6) rastu tek za po jedan unos u odnosu na 2025. godinu.

Alati za gradnju AI sistema ulaze u katalog

Najneobičniji nalaz je jedan od najmanjih. U 2026. godini u katalogu je 11 unosa za pet alata kojima se grade i pokreću AI sistemi: Langflow (5 unosa, jedan pod imenom IBM), LiteLLM (3), te MLflow, Ray i GPUStack (po jedan). U 2025. godini bio je jedan, Langflow iz maja, a u 2023. i 2024. godini nijedan. Šest od 11 unosa ima rok od tri dana. Zadnji je GPUStack, dodan 9. novembra.

Tome treba dodati i tri srodna alata za automatizaciju tokova rada i rad s podacima: n8n, Kestra i Marimo, svi iz 2026. godine. Spisak smo sastavili iz ovogodišnjih unosa, ali provjera unosa iz 2025. godine širim ključnim riječima (LLM, agenti, ML okviri) nije našla druge alate. Zato je razlika vjerovatno stvarna, mada ostaje mala u apsolutnim brojevima.

Unos u KEV znači da CISA ima dokaz o iskorištavanju u stvarnom svijetu. To nije mjera ranjivosti samih alata, nego trenutka kad ih je neko počeo napadati.

Šta nam ovi podaci ne otkrivaju

Rok nije mjera napada. Rok je odluka CISA-e o hitnosti. Više unosa s tri dana znači da je CISA više ranjivosti svrstala u hitne, a ne nužno da je napada više. Isto vrijedi za broj unosa: katalog bilježi ono što je CISA mogla potvrditi, ne sve što napadači koriste.

Ransomware oznaka pada, ali to nije pad prijetnje. Polje o korištenju u kampanjama ucjenjivačkog softvera ima vrijednost „Known“ kod 27 od 297 unosa u 2026. godini (9 posto), naspram 13 posto u 2025. godini i 23 do 27 posto od 2021. do 2024. godine. Oznaka se dodjeljuje naknadno, pa najnoviji unosi vjerovatno nose nižu vrijednost nego što će je imati za godinu.

Napadi na lanac isporuke razvojnih alata za sada su niz slučajeva. Četiri ovogodišnja unosa CISA vodi kao „ugrađeni zlonamjerni kod“ (Daemon Tools Lite, Nx Console, Trivy i eslint-config-prettier), a TanStack je opisan sličnim riječima. U 2025. godini bila su tri takva unosa, u 2024. godini samo jedan.

Šta nam ovo znači za odbranu od prijetnji

Rokovi iz kataloga obavezuju samo američke savezne agencije. Za sve ostale oni su mjerilo koliko brzo CISA smatra da treba djelovati. Ovo je naša procjena, ne CISA-ino uputstvo:

1. Katalog kao okidač. KEV je dostupan kao JSON datoteka i lako se automatski uspoređuje s popisom sistema. Svaki novi unos treba provjeriti prema inventaru istog dana.
2. Rubni uređaji prvi. Za firewalle, VPN-ove i pristupnike izložene internetu planirajte prozor od 72 sata. U unosima s rokom od tri dana polje o potrebnoj radnji traži ublažavanje prema uputi proizvođača ili prestanak korištenja proizvoda ako ublažavanje ne postoji.
3. Provjera kompromitacije, ne samo zakrpa. Od 25. juna 105 unosa ima oznaku forenzičke provjere, a svi imaju rok od tri dana. To vjerovatno odgovara ranjivostima koje daju potpunu kontrolu, za koje direktiva, prema Security Land, uz popravku traži i provjeru da li je sistem već probijen.
4. Popis AI i razvojnih alata. Langflow, LiteLLM, MLflow, Ray, GPUStack i n8n traže se kao i svaki drugi server izložen mreži. Naša je procjena da ih često pokreću razvojni i data timovi mimo centralnog IT popisa, pa ih odbrana teže vidi. Podaci to ne dokazuju.
5. Realan prozor. Mali timovi i slaba vidljivost otežavaju rok od tri dana čak i saveznim agencijama, te da zakrpe proizvođača ponekad stignu tek poslije tri dana. Zato unaprijed dogovorite hitnu promjenu i ko smije isključiti uređaj.

Formalna obaveza po novoj šemi počinje 7. decembra 2026. godine, a CISA će rokove jednom godišnje preispitivati i odlučiti da li ih skratiti. Ostaje otvoreno pitanje da li će kraći rok ubrzati popravke. CISA tvrdi da agencije mogu ispuniti rok od tri dana, a dio stručnjaka sumnja da će se vrijeme do popravke tako smanjiti.

Izvori i metoda

Podaci

CISA-in Katalog poznatih eksploatisanih ranjivosti, preuzet 14. novembra 2026. godine iz repozitorija cisagov/kev-data (verzija 2026.11.13, 1.781 unos, objavljen 13. novembra). Sve brojke računate su kodom (Python) iz polja datuma dodavanja, roka, CVE oznake, proizvođača, proizvoda, forenzičke provjere i ransomware oznake.

Definicije

• Rok je razlika između roka i datuma dodavanja, u danima. Razredi su 3, 14, 21 dan i ostalo.
• Svježina je CVE oznaka iz iste godine kao datum dodavanja. To je godina dodjele oznake, ne objave ranjivosti.
• Uporedba „isto razdoblje“ je 1. januar do 13. novembra svake godine. Grafikon ne prikazuje novembar jer je nepotpun.
• Rubni uređaji: Cisco, Fortinet, Ivanti, Citrix, Palo Alto Networks, Check Point, SonicWall, Juniper, F5, Arista, WatchGuard, Zyxel, D-Link, TP-Link, Sophos, Barracuda Networks, Ubiquiti, MikroTik, Hikvision, NETGEAR, QNAP, Synacor, Progress i Versa. Spisak smo sastavili nakon pregleda unosa, pa je provjera s užim spiskom od 19 proizvođača (bez Barracude, Hikvisiona, Synacora, Progressa i Verse) dala isti smjer: 18, 21, 21 i 24 posto za 2023. do 2026 godine., a u 2026. godini 59 od 71 unosa (83 posto) ima rok od tri dana.
• AI alati se prepoznaju po nazivu proizvoda: Langflow, LiteLLM, MLflow, Ray i GPUStack.

Ograničenja

Katalog je ono što je CISA potvrdila, a rok je njena odluka o hitnosti. Ransomware oznaka se dodaje naknadno. Razrede i spiskove sastavili smo mi, a nezavisnu reviziju nismo radili. Skriptu možemo priložiti uz članak.