KEV 這週 9 筆全給 3 天：BOD 26-04 發布約四個月，131 筆新增有 108 筆只給 3 天、46 筆期限落在週末；本站拿 CISA 自己的 SSVC 欄位對照時程表，14 筆的期限與鑑識欄組合推不出來
趨勢新聞2026 年 10 月 18 日
美國網路安全暨基礎設施安全局（CISA）2026 年 10 月 13 日到 16 日發了四則 KEV 新增警示，把 9 個漏洞列入已知遭利用漏洞目錄（KEV），包括 Windows Shell、Ivanti Connect Secure、PAN-OS、Cisco 郵件閘道、AhsayCBS 兩筆、Atlassian、Fortinet 與 BeyondTrust。9 筆條目上的期限（dueDate）全是列入後 3 天，其中 8 筆另要求鑑識初判（forensic triage），也就是修補之外還要查設備是否已遭入侵。
KEV 是 CISA 2021 年依約束性作業指令 BOD 22-01 建立的清單，今年上半年最常見的期限還是 14 天與 21 天。但這週的 3 天不是例外。CISA 6 月 10 日發布 BOD 26-04，取代 BOD 22-01，改用四個條件決定期限。這篇用 CISA 10 月 16 日版的 KEV JSON（共 1,748 筆）回答三件事：新規則發布後期限怎麼變、3 天期限落在星期幾，以及條目上的期限與鑑識欄組合，能不能從 CISA 自己公布的評估推回來。
四個條件決定期限：3 天、14 天、60 天或下次升級
BOD 26-04 的處置時程表用四個問題排出 16 種組合：資產是否對外開放、漏洞是否在 KEV、攻擊步驟能否自動化、得手後是部分還是完全控制。後兩項由 CISA 以 SSVC（一種漏洞處置優先序的判斷框架）評估，透過 Vulnrichment 計畫寫進 CVE 記錄。表上最短是 3 天，最長是「下次排定的重大升級或重建時修」；在 KEV 裡、技術影響為「完全」（可完全控制受影響的軟體）、且資產對外開放或攻擊可自動化的，都是「3 天加鑑識初判」。指令的天數是日曆天，從 CISA 列入 KEV，或機關在資產上辨識出漏洞並更新持續診斷與緩解（CDM）儀表板，兩者中較早的時點起算。
KEV 條目上的 dueDate 怎麼算？CISA 的實施指引常見問答說，它依時程表計算，並用手上資料判斷這個漏洞是否出現在對外開放的資產上，例如判定在對外資產上、可完全控制、又可自動化，期限就是 3 天；資產是否對外開放，最終由各機關逐一認定。指令把「照時程表期限修補」列為發布後 180 天內要做到的第三階段要求；第一階段則要求機關立即監看 KEV 並依其時程處置。
3 天從約四分之一變成八成
本站以列入日期分段計算。2026 年 1 月 1 日到 6 月 9 日，KEV 新增 133 筆，期限 14 天的 55 筆、21 天的 44 筆、3 天的 31 筆，另有 2 天的 2 筆、5 天的 1 筆，3 天占 23%。6 月 10 日到 10 月 16 日新增 131 筆，只剩兩種期限：3 天 108 筆、14 天 23 筆，3 天占 82%。按月看，3 天期限的筆數是 6 月 10 日到月底 12 筆（共 13 筆）、7 月 22 筆（共 26 筆）、8 月 22 筆（共 31 筆）、9 月 34 筆（共 43 筆），10 月到 16 日為止 18 筆全是 3 天。這 131 筆的「應採取行動」欄都引用 BOD 26-04。
期限變短之後，落點也跟著變。108 筆 3 天期限中，到期日是星期六的 25 筆、星期日的 21 筆，合計 46 筆，占 43%；星期一 17 筆。原因是列入日集中在平日，星期四列入的落在星期日，星期五列入的落在下星期一。這週星期五列入的 Fortinet 與 BeyondTrust 兩筆，期限都是 10 月 19 日星期一。新增的 131 筆中，有 21 筆是 2026 年以前編號的舊漏洞，最舊的是 2008 年。
鑑識初判欄：87 筆「是」，第一筆在 6 月 25 日
目前 KEV JSON 的 1,748 筆都帶有 forensicTriage 這一欄，在這份資料中，標「是」的條目最早在 2026 年 6 月 25 日列入；到 10 月 16 日共 87 筆，全部是 3 天期限。6 月 25 日以後新增的 121 筆中，標「是」的占 87 筆。14 天期限的 23 筆，這一欄都是「否」。單一版本的資料看不出這一欄實際從哪天開始使用。
本站再把每一筆的期限與鑑識欄，拿去對照 CISA 寫在 CVE 記錄裡的 SSVC 評估。131 筆中有 130 筆有評估。沒有的那筆是 Atlassian 的 CVE-2026-21589：它的 CVE 記錄已在世界協調時間 10 月 16 日 20:39 被 Atlassian 撤銷（REJECTED），理由是「發布可能是誤判或錯誤」，比這版 KEV 發布的同日 17:15 晚約 3.5 小時，KEV 這一版仍列著它。撤銷後，記錄裡 CISA 的評估也一併消失；本站從 CISA Vulnrichment 在 GitHub 公開的歷史版本查到，撤銷前的評估是主動利用、不可自動化、技術影響完全，用「對外開放」那一列推得出條目上的 3 天加鑑識初判。因為本站取得的 KEV 與 CVE 資料沒有 CISA 逐筆採用的曝險判定，本站把資產對外開放與不對外開放兩種情況都試：只要其中一種能推出條目上的組合，就算對得上。結果 116 筆的「期限與鑑識欄組合」對得上，14 筆不論哪種情況都推不出來；若只比期限天數，130 筆都推得出來，問題全出在鑑識欄。這 14 筆中，9 筆在 6 月 11 日到 23 日列入，都是 3 天、技術影響為完全，鑑識欄卻是「否」；在這份資料中，6 月 25 日以前列入的條目，鑑識欄全是「否」。另外 5 筆在之後：6 月 25 日的 CVE-2026-20230、6 月 29 日的 CVE-2026-48558、8 月 18 日的 CVE-2026-33824、10 月 8 日 ISC BIND 的 CVE-2015-5477，都是 3 天、完全控制、鑑識欄「否」；7 月 14 日的 CVE-2026-56164 則相反，評估為部分控制，鑑識欄卻是「是」。14 天的 23 筆，全部能用「資產不對外開放」那幾列推出來（其中 3 筆用「對外開放」也推得出來，不能反推 CISA 的曝險判斷）。
這個比對有兩個限制。第一，本站讀到的是 SSVC 的現值，130 筆中有 38 筆的評估時間戳記晚於列入日，例如 CVE-2026-48558 6 月 29 日列入、評估時間 6 月 30 日，CISA 定期限時用的值可能不同。第二，本站取得的公開資料沒有逐筆的曝險判定與依據。本站的讀法：6 月 25 日以前的 9 筆，可能與這一欄的導入或回填方式有關；之後的 5 筆，公開資料無法判斷是 CISA 另有依據，還是條目沒有同步更新，兩種都只是可能。