CISA-Schwachstellenbulletins enden: Analyse der Risikopriorisierung

Irgendwo hat ein Schwachstellenmanager eine Tabelle mit mehr roten Zellen als die Wand an einem Tatort. Seit Jahren ist das Ritual vertraut: nach Schweregrad sortieren, höflich in Panik geraten, Tickets zuweisen und hoffen, dass das Universum für ein langes Wochenende keine CVEs mehr ausgibt. CISA nimmt nun eines der Requisiten aus diesem Ritual außer Betrieb. Laut CISA’s GovDelivery-Mitteilung wird das wöchentliche Vulnerability Bulletin am 28. September 2026 eingestellt, da die Behörde von schweregradbasiertem Schwachstellenmanagement zu risikobasierter Priorisierung übergeht.

Das Bulletin verstummt, laut CISA

CISA sagt, dass das wöchentliche Vulnerability Bulletin am 28. September 2026 endet, als Teil ihres Wechsels von schweregradbasiertem Schwachstellenmanagement zu dem, was sie einen modernen risikobasierten Ansatz nennt. Die Behörde verbindet die Änderung mit der Binding Operational Directive 26-04, die Schwachstellen anhand realer Risikofaktoren priorisiert, einschließlich Nachweisen für Ausnutzung und Exposition, statt allein anhand von Schweregradwerten.

Das ist der wichtige Satz, nicht weil CVSS nutzlos wäre, sondern weil CVSS ohne Kontext im Grunde ein Wetterbericht für das Gebäude von jemand anderem ist. The Register berichtete, dass CISA die Änderung am Mittwoch angekündigt und sie als Abschied vom alten Format im Rahmen der breiteren Abkehr der Behörde von statischen CVSS-Bewertungen dargestellt hat.

Das bedeutet nicht, dass CISA sagt, Schwachstellenoffenlegung sei nicht mehr wichtig, was ungefähr so charmant wäre wie ein Rauchmelder ohne Batterie. Es bedeutet, dass die wöchentliche Zusammenfassung nicht mehr das beste Ordnungsprinzip für Maßnahmen ist. Eine Liste beängstigender Zahlen ist keine Behebungsstrategie.

Warum das Jagen nach Scores gescheitert ist, laut The Register

The Register merkt an, dass die Binding Operational Directive 26-04 betroffenen zivilen Bundesbehörden vorschreibt, Sicherheitsupdates auf Basis realer Risiken zu priorisieren, statt alle Schwachstellen und Systeme gleich zu behandeln. An dieser Unterscheidung hört Schwachstellenmanagement auf, reine Verwaltungsarbeit zu sein, und beginnt, Security Engineering zu werden.

CVSS kann dir sagen, dass ein Fehler technisch schwerwiegend ist, aber es kann dir nicht sagen, ob das betroffene System exponiert ist, ob jemand den Bug ausnutzt oder ob das verwundbare Asset für den Betrieb deiner Organisation wichtig ist. So landen Teams dabei, eine dramatische Schwachstelle mit hohem Schweregrad auf einem internen System mit geringem Wert zu patchen, während eine ausgenutzte Schwachstelle auf einem exponierten Dienst in der Warteschlange sitzt und sich leise für Incident Response bewirbt.

Bedrohungsakteure als Gruppe lassen sich nicht von Fairness bewegen. Sie verteilen ihre Aufmerksamkeit nicht gleichmäßig über deinen Backlog wie winzige chaotische Projektmanager. Sie folgen Zugriff, Ausnutzbarkeit, Exposition und Gewinn.

Was das wöchentliche Ritual ersetzt, laut OffSeq

OffSeqs Threat Radar fasst das Modell nach dem Bulletin so zusammen: Neu erfasste Schwachstellen bleiben über CVE.org verfügbar, während Nutzer ermutigt werden, sich für besser umsetzbare Updates auf den Known Exploited Vulnerabilities Catalog, CISA Cybersecurity Alerts and Advisories und Sicherheitshinweise von Anbietern zu verlassen. Anders gesagt: Der Rohdatenstrom ist noch da, aber die Triage-Signale sollen mehr Gewicht bekommen.

Das ist der Teil, in dem der Morgenkaffee des Security-Teams durch Korrelation, Asset-Inventar und das leise Geräusch ersetzt wird, wie jemand ein Ticketing-System anmurmelt. Jai Vijayan von Dark Reading berichtete ähnlich, dass CISAs Schritt mit dem Rat der Behörde übereinstimmt, dass Organisationen Schwachstellen priorisieren sollten, die tatsächlich wichtig sind.

Dieser Satz sollte über jeder Patch-Warteschlange stehen. Der nützliche Workflow ist nicht Schweregrad allein, dann Panik, dann heldenhafte Wochenendarbeit. Er ist Exposition plus Ausnutzungsnachweise plus organisatorische Auswirkungen, dann Behebungsdringlichkeit.

Was das für dich tatsächlich bedeutet, laut Dark Reading

Für Sicherheitsteams ist die praktische Lektion aus CISAs Kurswechsel einfach: Hör auf, jede CVE mit hohem Schweregrad so zu behandeln, als hätte sie denselben Handlungsschutz. Beginne mit Schwachstellen, von denen bekannt ist, dass sie ausgenutzt werden, besonders wenn betroffene Assets exponiert sind. Wäge als Nächstes ab, ob diese Assets kritische Dienste, sensible Daten, Identitätssysteme oder irgendetwas unterstützen, dessen Ausfall die Führungsebene deinen Namen entdecken ließe.

Dann nutze Schweregradwerte als unterstützende Hinweise, nicht als den einzigen Richter mit einem winzigen Hammer. Das bedeutet nicht, mittlere oder hohe Scores zu ignorieren, für die es aktuell keine Ausnutzungsnachweise gibt. Es bedeutet, ein Patch-Programm aufzubauen, das seine Entscheidungen erklären kann, ohne auf eine rote Zelle in einer Tabelle zu zeigen und zu flüstern: Seht her.

Beobachte weiter, wie CISA BOD 26-04 operationalisiert, und aktualisiere deinen Schwachstellenmanagement-Prozess so, dass er KEV-Einträge, Warnmeldungen, Anbieterhinweise, Expositionsdaten und Asset-Kontext aufnehmen kann. Die Zukunft sind nicht weniger CVEs. Die Zukunft ist bessere Triage, denn das Internet bleibt ein Gruppenprojekt, und mehrere Teilnehmende kauen an der Verkabelung.