Il Catalogo CISA delle Vulnerabilità Sfruttate Note è un elenco del governo degli Stati Uniti di vulnerabilità che CISA ritiene siano sfruttate attivamente nel mondo reale. Non è un database completo delle vulnerabilità; è uno strumento di priorità per i difensori che devono decidere cosa correggere per primo.
Il suo valore è pratico: quando una falla compare nel catalogo, i team di sicurezza dovrebbero considerarla urgente, soprattutto se il sistema interessato è esposto a Internet o si trova in un percorso critico come un proxy, una VPN o un livello web. Gli attaccanti spesso prendono di mira queste debolezze perché sono note, raggiungibili e talvolta non corrette. I difensori usano il catalogo per guidare le correzioni di emergenza, l'inventario degli asset, la riduzione dell'esposizione e la verifica che le correzioni siano state applicate. Nelle operazioni moderne, l'inclusione nel catalogo spesso significa che la vulnerabilità è passata dal rischio teorico all'azione difensiva immediata.