Fin des bulletins de vulnérabilités de la CISA : analyse du tri des risques

Quelque part, un responsable de la gestion des vulnérabilités possède une feuille de calcul avec plus de cellules rouges qu’un mur de scène de crime. Pendant des années, le rituel a été familier : trier par gravité, paniquer poliment, attribuer des tickets, et espérer que l’univers cesse de publier des CVE pendant un long week-end. La CISA met maintenant à la retraite l’un des accessoires de ce rituel. Selon l’avis GovDelivery de la CISA, le Bulletin hebdomadaire des vulnérabilités sera supprimé le 28 septembre 2026, alors que l’agence s’éloigne de la gestion des vulnérabilités fondée sur la gravité pour aller vers une priorisation fondée sur le risque.

Le bulletin devient silencieux, selon la CISA

La CISA indique que le Bulletin hebdomadaire des vulnérabilités prendra fin le 28 septembre 2026, dans le cadre de son passage d’une gestion des vulnérabilités fondée sur la gravité à ce qu’elle appelle une approche moderne fondée sur le risque. L’agence relie ce changement à la Binding Operational Directive 26-04, qui priorise les vulnérabilités à l’aide de facteurs de risque réels, notamment les preuves d’exploitation et d’exposition, plutôt qu’avec les seuls scores de gravité. C’est la phrase importante, non pas parce que le CVSS est inutile, mais parce qu’un CVSS sans contexte est essentiellement un bulletin météo pour le bâtiment de quelqu’un d’autre.

The Register a rapporté que la CISA avait annoncé ce changement mercredi et l’avait présenté comme l’envoi à la retraite de l’ancien format, dans le cadre du virage plus large de l’agence loin de la notation CVSS statique. Cela ne signifie pas que la CISA dit que la divulgation des vulnérabilités n’a plus d’importance, ce qui serait charmant de la même manière qu’un détecteur de fumée sans pile est charmant. Elle dit que le récapitulatif hebdomadaire n’est plus le meilleur principe d’organisation pour agir. Une liste de nombres effrayants n’est pas une stratégie de remédiation.

Pourquoi la course aux scores s’est essoufflée, selon The Register

The Register note que la Binding Operational Directive 26-04 demande aux agences civiles fédérales concernées de prioriser les mises à jour de sécurité selon le risque réel, au lieu de traiter toutes les vulnérabilités et tous les systèmes de la même façon. C’est dans cette distinction que la gestion des vulnérabilités cesse d’être du travail administratif et commence à devenir de l’ingénierie de sécurité.

Le CVSS peut vous dire qu’une faille est techniquement grave, mais il ne peut pas vous dire si le système touché est exposé, si quelqu’un exploite le bogue, ou si l’actif vulnérable compte pour les opérations de votre organisation. C’est ainsi que des équipes finissent par corriger une faille spectaculaire à gravité élevée sur un système interne de faible valeur, pendant qu’une vulnérabilité exploitée sur un service exposé attend dans la file, en auditionnant discrètement pour la réponse à incident.

Les acteurs de la menace, en tant que groupe, ne sont pas émus par l’équité. Ils ne répartissent pas leur attention de façon uniforme dans votre backlog comme de minuscules chefs de projet chaotiques. Ils suivent l’accès, l’exploitabilité, l’exposition et le gain potentiel.

Ce qui remplace le rituel hebdomadaire, selon OffSeq

OffSeq’s Threat Radar résume ainsi le modèle après le bulletin : les vulnérabilités nouvellement enregistrées restent disponibles via CVE.org, tandis que les utilisateurs sont encouragés à s’appuyer sur le catalogue Known Exploited Vulnerabilities, les alertes et avis de cybersécurité de la CISA, ainsi que les alertes de sécurité des fournisseurs pour obtenir des mises à jour plus directement exploitables. Autrement dit, le flux brut est toujours là, mais les signaux de triage sont censés avoir plus de poids.

C’est le moment où le café du matin de l’équipe de sécurité est remplacé par de la corrélation, un inventaire des actifs, et le léger bruit de quelqu’un qui marmonne devant un système de tickets. Jai Vijayan, de Dark Reading, a rapporté de façon similaire que le mouvement de la CISA est cohérent avec le conseil de l’agence selon lequel les organisations doivent prioriser les vulnérabilités qui comptent réellement. Cette phrase devrait être imprimée au-dessus de chaque file de correctifs.

Le flux de travail utile n’est pas : gravité seule, puis panique, puis travail héroïque pendant le week-end. C’est : exposition plus preuves d’exploitation plus impact organisationnel, puis urgence de remédiation.

Ce que cela signifie vraiment pour vous, selon Dark Reading

Pour les équipes de sécurité, la leçon pratique du virage de la CISA est simple : arrêtez de traiter chaque CVE à gravité élevée comme si elle avait la même armure scénaristique. Commencez par les vulnérabilités connues pour être exploitées, surtout lorsque les actifs touchés sont exposés. Ensuite, évaluez si ces actifs soutiennent des services critiques, des données sensibles, des systèmes d’identité, ou tout élément dont la défaillance ferait que la direction découvre votre nom. Puis utilisez les scores de gravité comme éléments de preuve complémentaires, et non comme le seul juge avec un tout petit marteau.

Cela ne signifie pas ignorer les scores moyens ou élevés qui ne disposent pas de preuves d’exploitation actuelles. Cela signifie construire un programme de correction capable d’expliquer ses choix sans pointer une cellule rouge dans une feuille de calcul en murmurant : contemplez.

Continuez à suivre la manière dont la CISA met en œuvre la BOD 26-04, et mettez à jour votre processus de gestion des vulnérabilités afin qu’il puisse intégrer les entrées KEV, les alertes, les avis fournisseurs, les données d’exposition et le contexte des actifs. L’avenir, ce n’est pas moins de CVE. L’avenir, c’est un meilleur triage, parce qu’Internet reste un projet de groupe et que plusieurs participants mâchouillent les câbles.