Três Dias para Corrigir: A BOD 26-04 da CISA Comprime os Prazos Federais de Vulnerabilidade ao Mesmo Tempo em que Permite Formalmente o Adiamento de Falhas de Menor Risco

NewsPals · Jun 12, 2026

Uma nova diretiva vinculante substitui uma década de orientações federais improvisadas sobre correção de vulnerabilidades por uma estrutura única de matriz de risco que aperta os prazos no topo e permite explicitamente atrasos na base.

Imagine uma equipe de TI federal numa manhã de quarta-feira, café na mão, abrindo uma nova Diretiva Operacional Vinculante da CISA. A obrigação principal soa como um teste de estresse para qualquer responsável por conformidade: corrigir as vulnerabilidades mais graves em três dias. Esse número não é uma meta ou uma recomendação. Para as agências federais civis do Poder Executivo, trata-se de um requisito operacional vinculante, emitido em 10 de junho de 2026, sob a BOD 26-04.

O Que a Diretiva Realmente Diz

A CISA publicou a BOD 26-04, intitulada "Priorizando Atualizações de Segurança com Base em Risco", em 10 de junho de 2026, conforme a diretiva oficial divulgada no CISA.gov. A diretiva se aplica aos sistemas de informação das agências federais civis do Poder Executivo, como confirmado pelo alerta jurídico da Wiley publicado na mesma data. De acordo com o relato da AFCEA International, Chris Butera, diretor assistente executivo interino de cibersegurança da CISA, descreveu a diretiva como uma melhoria em relação a diversas ações anteriores da agência: os requisitos de correção de vulnerabilidades de 2019 para sistemas acessíveis pela internet, a diretiva do catálogo de Vulnerabilidades Exploradas Conhecidas e a BOD de 2022 sobre a redução de riscos significativos de vulnerabilidades exploradas conhecidas. O argumento acumulado é que mais de uma década de diretivas produziu resultados desiguais, e a BOD 26-04 consolida essas obrigações em um único framework coerente.

O mecanismo central é um filtro de risco com quatro critérios, conforme relatado pela CyberScoop. As agências federais devem priorizar a correção de vulnerabilidades que atendam a qualquer uma destas condições: a vulnerabilidade afeta um ativo exposto publicamente; permite que um invasor automatize completamente a exploração; dá ao invasor a capacidade de assumir o controle de um sistema; ou há evidências de exploração ativa no mundo real. A CyberScoop atribuiu o enquadramento da diretiva diretamente à CISA, que descreveu a abordagem como uma forma de ajudar as agências a "corrigir de forma mais inteligente, não mais trabalhosa". A declaração do diretor interino da CISA, Nick Andersen, citada pela CyberScoop, descreve a diretiva como fornecedora de "definições claras, prazos e critérios que aumentam a transparência, a previsibilidade e o planejamento de recursos das agências para executar uma correção de vulnerabilidades mais eficaz".

O Framework de Matriz de Risco: Mais Rígido no Topo, Adiamento Permitido Abaixo

A novidade estrutural da BOD 26-04 não é apenas o prazo reduzido para as falhas mais perigosas. É o reconhecimento formal de que nem toda vulnerabilidade exige o mesmo nível de urgência. O alerta jurídico da Wiley observa que a diretiva instrui as agências a priorizar atualizações de segurança com base em risco, o que na prática significa que vulnerabilidades de menor risco podem ser formalmente adiadas, em vez de tratadas como pendências administrativas sem status definido. Essa é uma mudança operacional significativa: anteriormente, as agências operavam sob frameworks que classificavam as falhas como corrigidas ou em atraso, com espaço formal limitado para adiamentos documentados e justificados por risco.

A CISA publicou orientações de implementação complementares em 10 de junho de 2026, junto com a diretiva principal, conforme a página de orientações de implementação da CISA. Vale destacar que a CISA declarou a intenção de atualizar essas orientações de forma contínua, o que significa que os detalhes operacionais não são estáticos. Equipes de segurança e conformidade devem tratar as orientações de implementação como um documento vivo, e não como uma leitura pontual. A combinação de uma diretiva vinculante e orientações contínuas é uma estrutura deliberada: a diretiva estabelece a obrigação legal, e as orientações tratam dos aspectos práticos à medida que as condições de ameaça e as capacidades das agências evoluem.

O Que Isso Significa Além das Fronteiras Federais

A BOD 26-04 se aplica formalmente apenas aos sistemas de informação das agências federais civis do Poder Executivo, como o alerta da Wiley deixa claro, e não se estende a outras entidades por seus próprios termos. Esse limite é importante, e qualquer pessoa que afirme que a diretiva obriga diretamente organizações do setor privado ou agências estaduais deve ser questionada sobre qual dispositivo específico afirma isso.

Dito isso, contratantes federais e fornecedores que oferecem sistemas ou serviços a agências cobertas têm um incentivo prático para se alinhar: agências que operam com janelas de correção de três dias terão pouca tolerância para atrasos de terceiros que inviabilizem a conformidade. De acordo com a AFCEA International, Butera observou que a CISA vem avaliando o progresso e as lacunas no gerenciamento de vulnerabilidades há mais de 11 anos. Esse histórico reforça a razão de existência da diretiva: o conjunto anterior de diretivas deixou lacunas mensuráveis, e uma abordagem unificada de matriz de risco é a resposta operacional da CISA.

Para profissionais de segurança e desenvolvedores de plataformas que atendem agências federais, a lição é concreta. Saber quais dos seus componentes tocam ativos expostos publicamente, suportam automação completa de exploração ou permitem a tomada de controle de sistemas não é mais um conhecimento de segundo plano. É a informação que seus clientes federais precisam para executar a matriz de risco no dia em que o cronômetro da diretiva começa a contar. As orientações de implementação contínuas da CISA são o documento a monitorar daqui para frente. Quando a CISA atualizar essas orientações, os requisitos operacionais para as agências vão mudar, e os fornecedores na cadeia de suprimentos federal sentirão essas atualizações antes que qualquer aviso formal chegue às suas caixas de entrada.

Fontes