ב-18 ביוני 2026 אישרה Splunk ניצול מוגבל של CVE-2026-20253, חולשה בציון 9.8 שמאפשרת לכתוב קבצים בלי סיסמה. CISA הוסיפה אותה באותו יום לקטלוג החולשות המנוצלות.
לכתבה המלאהב-7 בינואר 2026 הוסיפה CISA את CVE-2025-37164 ב-HPE OneView לקטלוג KEV. החולשה בציון 10 מאפשרת הרצת קוד בלי הזדהות, ו-HPE פרסמה תיקון באמצע דצמבר.
ב-29 בדצמבר 2025 הוסיפה CISA לקטלוג KEV את MongoBleed (CVE-2025-14847), דליפת זיכרון ב-MongoDB בלי הזדהות. MongoDB תיקנה ב-19 בדצמבר, וקוד ניצול כבר זמין לציבור.
ב-18 בנובמבר 2025 פרסמה Fortinet את CVE-2025-58034, הזרקת פקודות ב-FortiWeb שלדבריה כבר מנוצלת בשטח. ארבעה ימים קודם היא חשפה פרצה קריטית אחרת, CVE-2025-64446.
ב-30 באוקטובר 2025 הוסיפה CISA לקטלוג KEV את CVE-2025-41244 ב-VMware Tools וב-Aria Operations ואת CVE-2025-24893 ב-XWiki. שתיהן מנוצלות בתקיפות, ושתיהן כבר מתוקנות.
