--- title: "Katalog KEV CISA: Patch Celah yang Sedang Dieksploitasi" description: "Katalog KEV CISA mendaftar celah yang terbukti dieksploitasi. Begini cara memakainya, bersama imbauan BSSN, untuk rutinitas patch mingguan bisnismu." url: "https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch" category: "Keamanan/Cyber Security" tags: ["cisa kev","manajemen patch","kerentanan","bssn","cve"] author: "Theresia Candiawan" published: "2026-11-07T00:41:00+07:00" updated: "2026-11-07T00:41:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Katalog KEV CISA: Patch Celah yang Sedang Dieksploitasi > **Jawaban singkat:** KEV (Known Exploited Vulnerabilities) adalah daftar resmi CISA berisi celah yang sudah terbukti dieksploitasi di dunia nyata. Bisnis kecil bisa memakainya sebagai daftar prioritas: setiap minggu cocokkan KEV dengan perangkat lunak yang kamu pakai, patch yang cocok lebih dulu, lalu cek imbauan BSSN. Katalog KEV (Known Exploited Vulnerabilities) adalah daftar yang dikelola CISA, badan keamanan siber Amerika Serikat, berisi celah keamanan yang sudah terbukti dieksploitasi penyerang di dunia nyata. Bukan celah yang "mungkin berbahaya", tapi celah yang sudah dipakai untuk membobol sistem orang lain. CISA sendiri menyebut katalog ini sebagai masukan untuk menentukan prioritas pengelolaan kerentanan. Setiap bulan ada ribuan CVE baru, dan tim kecil tidak mungkin menambal semuanya hari itu juga. Kalau urutan patch ditentukan asal-asalan, misalnya hanya berdasarkan skor CVSS tertinggi, bisa saja kamu sibuk menambal celah teoretis sementara celah di VPN atau CMS yang sedang diburu penyerang dibiarkan berminggu-minggu. ## Apa isi katalog KEV dan bagaimana membacanya? Per 4 November 2026, halaman katalog KEV menampilkan 1.767 entri. Jumlah itu kecil dibanding total CVE yang terbit, dan memang di situ gunanya: KEV memangkas daftar panjang menjadi daftar pendek yang mendesak. ### Kolom yang perlu kamu perhatikan Setiap entri memuat nomor CVE, vendor dan produk, nama serta deskripsi celah, kategori kelemahan (CWE), tanggal masuk katalog, tenggat bagi instansi federal AS, tindakan yang diminta, catatan, dan tautan referensi. Ada juga kolom **"Known To Be Used in Ransomware Campaigns?"** yang menandai apakah celah itu diketahui dipakai dalam kampanye ransomware. Banyak entri bertanda "Unknown", dan itu tidak sama dengan aman: artinya CISA belum punya bukti, bukan bukti bahwa tidak dipakai. ### Format yang bisa diunduh Katalog tersedia dalam format CSV dan JSON, lengkap dengan skema JSON. Artinya kamu tidak harus membuka situsnya setiap hari. File CSV bisa dibuka di spreadsheet, sedangkan JSON bisa diambil otomatis oleh skrip atau alat pemindai kerentanan. ### Hubungannya dengan aturan CISA terbaru Pada 10 Juni 2026 CISA menerbitkan BOD 26-04, *Prioritizing Security Updates Based on Risk*. Direktif ini mencabut dan menggabungkan BOD 22-01 (yang dulu menjadi dasar katalog KEV) dan BOD 19-02. Di BOD 26-04, status KEV menjadi pemicu utama tenggat perbaikan, bersama faktor lain: seberapa terbuka aset ke internet, apakah eksploitasi bisa diotomatisasi, dan dampak teknisnya. Direktif ini hanya mengikat instansi sipil federal AS, tapi cara berpikirnya bisa kamu tiru. ## Bagaimana memakai KEV dan imbauan BSSN di bisnis kecil? KEV bersifat global, sementara BSSN (Badan Siber dan Sandi Negara) punya bagian Imbauan Keamanan di situs resminya, dan Gov-CSIRT di bawah BSSN menjalankan layanan penanganan kerentanan, tanggap insiden, dan berbagi informasi. Keduanya saling melengkapi: KEV memberi daftar celah yang terbukti dipakai, BSSN memberi konteks ancaman di dalam negeri. ### Rutinitas patch mingguan yang realistis Mulailah dengan **daftar aset**. Tulis semua perangkat lunak yang terhubung ke internet: sistem operasi server, panel hosting, CMS dan pluginnya, VPN, firewall, router, server email. Tanpa daftar ini, KEV tidak bisa dicocokkan dengan apa pun. Lalu tetapkan satu hari tetap setiap minggu. Unduh CSV KEV terbaru, saring berdasarkan "Date Added" sejak pengecekan terakhir, dan cocokkan kolom vendor serta produk dengan daftar asetmu. Setiap kecocokan masuk ke daftar kerja minggu itu. Setelah itu buka bagian Imbauan Keamanan di situs BSSN dan baca yang terbaru. Bila ada imbauan tentang produk yang kamu pakai, perlakukan sama seperti entri KEV. Terakhir, catat hasilnya: celah apa yang cocok, kapan ditambal, siapa yang mengerjakan, dan bila belum bisa ditambal, mitigasi sementara apa yang dipasang. | Sumber | Isi | Kekuatan | Keterbatasan | |:--|:--|:--|:--| | Katalog KEV CISA | Celah yang terbukti dieksploitasi | Terstruktur, bisa diunduh CSV/JSON | Fokus global, tidak semua produk lokal tercakup | | Imbauan BSSN | Peringatan dan imbauan keamanan | Konteks ancaman di Indonesia | Formatnya artikel, perlu dibaca manual | | Advisori vendor | Detail celah, versi terdampak, patch | Paling rinci dan akurat untuk produknya | Tersebar di banyak situs | | Skor CVSS saja | Tingkat keparahan teoretis | Ada untuk hampir semua CVE | Tidak menunjukkan apakah sedang dieksploitasi | Advisori vendor tetap jadi rujukan akhir. KEV dan BSSN memberi tahu *apa* yang mendesak, sedangkan halaman vendor memberi tahu *versi mana* yang aman dan *bagaimana* menambalnya. > **Patch bukan akhir cerita:** > > Untuk celah yang sudah dieksploitasi, ada kemungkinan sistemmu sudah dibobol sebelum patch dipasang. BOD 26-04 pun mewajibkan *forensic triage* untuk sebagian kombinasi kondisi, dan per 4 November 2026 data JSON katalog KEV memuat kolom `forensicTriage`. Setelah menambal, cek log, akun baru yang mencurigakan, dan file asing. Panduan tanda-tandanya ada di artikel [tanda website diretas](https://nivelva.com/insight/tanda-website-diretas). ## Kapan cukup pakai KEV, kapan butuh lebih? Untuk bisnis dengan satu dua server dan beberapa aplikasi, rutinitas mingguan berbasis KEV dan BSSN sudah jauh lebih baik daripada menambal "kalau ingat". Daftar asetnya pendek, kecocokannya bisa dicek manual dalam waktu singkat, dan hasilnya langsung terasa. Kalau asetmu mulai banyak, misalnya puluhan server, beberapa kantor cabang dengan VPN, dan aplikasi buatan sendiri, pencocokan manual akan kewalahan. Di titik itu pemindai kerentanan otomatis yang sudah memakai data KEV lebih masuk akal, dan kamu mungkin butuh pihak yang memantau terus-menerus. Pemindaian otomatis, pentest berkala, dan pemantauan SOC adalah tiga layanan berbeda dengan kegunaan masing-masing. Ada juga situasi ketika patch belum bisa dipasang, misalnya aplikasi lama yang rusak bila diperbarui. Untuk kasus seperti ini, kurangi paparannya: tutup akses dari internet, batasi lewat VPN, atau pasang aturan WAF sementara. Catat mitigasi itu dan jadwalkan ulang patch-nya, karena mitigasi sementara sering berubah jadi permanen tanpa disadari. ## Contoh celah yang pernah masuk KEV Beberapa celah yang pernah kami ulas sudah masuk katalog ini, misalnya celah RCE React Server Components ([React2Shell](https://nivelva.com/insight/react2shell-cve-2025-55182)), celah NetScaler yang dikenal sebagai [CitrixBleed 2](https://nivelva.com/insight/citrixbleed-2-cve-2025-5777), dan rangkaian celah SharePoint on-premise yang disebut [ToolShell](https://nivelva.com/insight/toolshell-sharepoint-cve-2025-53770). Per 4 November 2026, ketiganya bertanda "Known" di kolom ransomware. Tenggat yang ditetapkan CISA untuk instansi federal juga menunjukkan seberapa sempit waktunya: satu hari setelah masuk katalog untuk CitrixBleed 2 dan ToolShell, tujuh hari untuk React2Shell. ## Pertanyaan yang sering diajukan ### Apakah katalog KEV hanya untuk instansi pemerintah AS? Kewajiban tenggatnya hanya mengikat instansi sipil federal AS, tapi katalognya terbuka untuk umum dan bisa dipakai siapa saja sebagai daftar prioritas patch. ### Apakah celah yang tidak ada di KEV berarti aman? Tidak. KEV hanya memuat celah yang sudah diketahui dieksploitasi. Celah kritis lain tetap perlu ditambal, hanya urutannya setelah yang ada di KEV. ### Seberapa sering KEV diperbarui? CISA menambahkan entri setiap kali ada bukti eksploitasi baru, sering kali beberapa kali dalam seminggu. Karena itu pengecekan mingguan adalah ritme minimum yang masuk akal. ### Di mana melihat imbauan keamanan BSSN? BSSN memuat imbauan keamanan di situs resminya (bssn.go.id), sementara Gov-CSIRT di bawah BSSN menangani kerentanan dan berbagi informasi untuk sistem pemerintah. Baca dan cocokkan dengan daftar asetmu seperti entri KEV. ## Sumber - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com