北京
2026年6月10日，美國網(wǎng)絡安全與基礎設施安全局（CISA）投下了一枚政策炸彈。一份名為《基于風險優(yōu)先處理安全更新》的第26-04號約束性操作指令（BOD 26-04）正式簽發(fā)，要求所有聯(lián)邦民事行政分支（FCEB）機構(gòu)必須在3個日歷日內(nèi)，修復那些最危險的已知被利用漏洞。
這不是建議，是死命令。BOD 26-04創(chuàng)下了聯(lián)邦政府有史以來最激進的補丁時限紀錄，從根子上重塑了美國聯(lián)邦機構(gòu)管理漏洞的方式。根據(jù)《美國法典》第44編第3552條(b)(1)款的授權(quán)，國土安全部部長有權(quán)對所有聯(lián)邦文職機構(gòu)下達強制性的網(wǎng)絡安全政策，而CISA此次出手，直接廢除了此前兩份舊指令——BOD 19-02和BOD 22-01，將分散的漏洞修復指南整合進一個統(tǒng)一的分級框架。值得注意的是，國家安全系統(tǒng)和情報機構(gòu)的系統(tǒng)不在此次指令管轄范圍內(nèi)。
這份新指令的核心邏輯很明確：告別過去的"全覆蓋式補丁"，轉(zhuǎn)向基于風險的漏洞管理。每個漏洞都要被拉出來過四道篩子——資產(chǎn)暴露面、KEV目錄收錄狀態(tài)、漏洞利用自動化程度，以及攻擊得手后的技術影響深度。具體來說，CISA通過其Vulnrichment計劃對外公開發(fā)布每一項CVE的KEV收錄狀態(tài)、漏洞利用自動化程度和技術影響數(shù)據(jù)，而各機構(gòu)則需要依據(jù)CISA的《互聯(lián)網(wǎng)暴露面縮減指南》，自行評估自身資產(chǎn)的公網(wǎng)暴露情況。
漏洞命中的高風險指標越多，修復時限就越緊。指令的附表一給出了清晰的刻度：如果一個漏洞所在的資產(chǎn)暴露在公網(wǎng)、已被列入CISA的已知被利用漏洞（KEV）目錄、攻擊者可全自動化實施利用、且一旦得手就能獲得系統(tǒng)完全控制權(quán)，那么該漏洞必須在3天內(nèi)完成修復，并且還要配套執(zhí)行強制性的取證分診，判斷系統(tǒng)是否已經(jīng)被入侵。如果只滿足部分條件，時限放寬至14天或60天。至于那些既不在KEV目錄中、也未暴露于公網(wǎng)、且無法被自動化的漏洞，則直接被推遲到下一輪計劃內(nèi)的系統(tǒng)升級時再處理。
CISA為BOD 26-04的落地規(guī)劃了三個階段。第一階段即刻生效，各機構(gòu)需要更新內(nèi)部的漏洞管理政策、持續(xù)監(jiān)控KEV目錄，并通過連續(xù)診斷與緩解（CDM）看板自動化報送數(shù)據(jù)。第二階段要求在60天內(nèi)，將完整的漏洞管理流程與CVE數(shù)據(jù)庫和KEV目錄對齊。第三階段則是180天內(nèi)全面達標——嚴格按照附表一的時限修復漏洞，并持續(xù)對所有可公網(wǎng)訪問的資產(chǎn)打上包含完整信息的元數(shù)據(jù)標簽。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
