CISA停发每周漏洞公告 BOD 26-04 转向KEV风险优先
CISA 宣布将停止每周漏洞公告（Weekly Vulnerability Bulletin），停止日期为 2026 年 9 月 28 日。该公告每周汇总新增漏洞，包含产品名称、漏洞描述、发布日期、严重性、CVSS 评分、CVE 编号以及可用时的补丁信息。每个公告会收录数千条漏洞记录，按受影响产品名称字母顺序和严重性排序，但不提供漏洞优先级处置建议。缺乏威胁情报和是否正在被利用的上下文时，漏洞数量过大容易导致防御方告警疲劳。
CISA 表示，停止该公告与 BOD 26-04 一致。BOD 26-04 于 6 月发布，要求联邦机构审查并更新漏洞管理政策，基于现实风险因素（包括利用证据和暴露情况）确定漏洞优先级，而不是只依赖严重性评分。该指令还要求优先修复 KEV 目录中的漏洞。
近年来业界逐步从单纯依赖 CVSS 转向基于风险的漏洞管理。CVSS 衡量的是理论技术严重性；现代框架会优先考虑活跃利用、威胁行为者关注度和暴露面。CISA 的 KEV 目录自 2021 年推出后，已成为防御方的主要参考之一，因为它只关注已有在野利用记录的漏洞，能提供更可操作的优先级。
对于长期依赖该周报获取新漏洞信息的 SOC 团队，需要调整信息源和流程。CISA 称仍会通过 KEV 目录、警报和公告继续提供以风险为重点的漏洞信息。
Re: CISA停发每周漏洞公告 BOD 26-04 转向KEV风险优先
这个转向其实挺明显的，停掉每周漏洞公告，本质上就是让防御方别再被几千条 CVE 推着走。周报虽然全，但按产品字母和严重性排序，没有利用证据和暴露上下文，确实很容易变成“看不过来干脆不看”。BOD 26-04 要求基于现实风险定优先级，KEV 目录又只收在野利用过的漏洞，方向是对的。 不过对长期靠周报做日常摸排的 SOC 来说，短期肯定会有空窗感。以前至少有个固定入口，现在得把信息源拆开：KEV、CISA 警报、厂商通告，再结合自己资产暴露面去排。流程上可能也要从“每周批量过一遍”改成“风险触发式”处理，比如 KEV 新增就自动拉起排查和工单。 我比较关心的是，KEV 只覆盖已确认在野利用的漏洞，那从漏洞披露到进 KEV 之间的窗口怎么办？这段还是得靠资产管理和快速验证。总体支持风险优先，但团队最好提前调整，别等到 2026 年 9 月 28 日停发后再临时找替代。Re: CISA停发每周漏洞公告 BOD 26-04 转向KEV风险优先
这个调整虽然对长期依赖周报的团队来说会有些不方便，但方向确实能理解。每周几千条漏洞、只按产品和严重性排，没有利用情况和威胁上下文，最后很容易变成告警疲劳。CVSS 高不等于现实中最该先修，KEV 和在野利用证据才更接近可操作的风险。 对 SOC 来说，接下来比较实际的是提前做过渡：把信息源逐步转到 KEV、CISA 警报和公告上，同时把内部流程从“按评分排队”改成结合暴露面、资产重要性和利用证据来定优先级。BOD 26-04 的要求其实也是这个思路，联邦机构先走一步，其他组织也可以借鉴。 停发周报不等于漏洞信息变少，而是筛选逻辑变了。早点调整订阅源和处置标准，应该比等到 2026 年 9 月 28 日再临时切换要从容一些。感谢分享这个消息。Re: CISA停发每周漏洞公告 BOD 26-04 转向KEV风险优先
这个转向我觉得方向是对的，但过渡期会有点痛。每周漏洞公告最大的问题就是量太大、缺少上下文，几千条按产品和严重性排下来，防御方很容易告警疲劳。CISA 用 KEV 来收口，强调在野利用和暴露面，确实更接近可操作的风险优先级。 对 SOC 团队来说，最大的影响是不能再把周报当成主要的漏洞信息来源。短期内要重新设计流程：谁负责盯 KEV，怎么跟资产清单和暴露面匹配，怎么定义修复优先级和时限，以及怎么补上周报里原本提供的补丁信息。以前靠周报做初筛的团队，可能得回到厂商公告、内部扫描和威胁情报组合的方式。 不过也要注意，KEV 主要覆盖已有在野利用记录的漏洞，并不等于全部风险。BOD 26-04 要求基于利用证据和暴露情况排序，这很合理，但不代表非 KEV 漏洞就可以完全不管。更现实的做法是分层处理：KEV 和暴露在外的关键漏洞优先，CVSS 高但暂无利用证据的按业务影响排，低风险批量处理。 如果 CISA 后续只靠 KEV、警报和公告，信息覆盖面和更新节奏可能和以前不同，组织最好提前评估自己会不会出现盲区。总的来说，从单纯依赖 CVSS 转向风险优先是大势，但落地关键还是资产可见性和流程，不然 KEV 也只是一个新的清单。
页:
[1]