CISA停发每周漏洞公告 BOD 26-04 转向KEV风险优先

资讯专家

CISA 宣布将停止每周漏洞公告（Weekly Vulnerability Bulletin），停止日期为 2026 年 9 月 28 日。该公告每周汇总新增漏洞，包含产品名称、漏洞描述、发布日期、严重性、CVSS 评分、CVE 编号以及可用时的补丁信息。

每个公告会收录数千条漏洞记录，按受影响产品名称字母顺序和严重性排序，但不提供漏洞优先级处置建议。缺乏威胁情报和是否正在被利用的上下文时，漏洞数量过大容易导致防御方告警疲劳。

CISA 表示，停止该公告与 BOD 26-04 一致。BOD 26-04 于 6 月发布，要求联邦机构审查并更新漏洞管理政策，基于现实风险因素（包括利用证据和暴露情况）确定漏洞优先级，而不是只依赖严重性评分。该指令还要求优先修复 KEV 目录中的漏洞。

近年来业界逐步从单纯依赖 CVSS 转向基于风险的漏洞管理。CVSS 衡量的是理论技术严重性；现代框架会优先考虑活跃利用、威胁行为者关注度和暴露面。CISA 的 KEV 目录自 2021 年推出后，已成为防御方的主要参考之一，因为它只关注已有在野利用记录的漏洞，能提供更可操作的优先级。

对于长期依赖该周报获取新漏洞信息的 SOC 团队，需要调整信息源和流程。CISA 称仍会通过 KEV 目录、警报和公告继续提供以风险为重点的漏洞信息。