Fim dos Boletins de Vulnerabilidades da CISA: Análise de Triagem de Riscos

Em algum lugar, um gerente de vulnerabilidades tem uma planilha com mais células vermelhas do que um mural de cena de crime. Durante anos, o ritual foi familiar: ordenar por severidade, entrar em pânico com educação, atribuir tickets e torcer para que o universo pare de emitir CVEs por um fim de semana prolongado. Agora, a CISA está aposentando um dos adereços desse ritual. De acordo com o aviso GovDelivery da CISA, o Boletim semanal de Vulnerabilidades será descontinuado em 28 de setembro de 2026, enquanto a agência deixa de lado a gestão de vulnerabilidades baseada em severidade e avança para a priorização baseada em risco.

O boletim fica em silêncio, segundo a CISA

A CISA diz que o Boletim semanal de Vulnerabilidades terminará em 28 de setembro de 2026, como parte de sua mudança da gestão de vulnerabilidades baseada em severidade para o que chama de uma abordagem moderna baseada em risco. A agência vincula a mudança à Diretiva Operacional Vinculante 26-04, que prioriza vulnerabilidades usando fatores de risco do mundo real, incluindo evidências de exploração e exposição, em vez de apenas pontuações de severidade.

Essa é a frase importante, não porque o CVSS seja inútil, mas porque CVSS sem contexto é basicamente uma previsão do tempo para o prédio de outra pessoa. O The Register informou que a CISA anunciou a mudança na quarta-feira e a apresentou como a retirada do formato antigo, alinhada à mudança mais ampla da agência para longe da pontuação CVSS estática.

Isso não é a CISA dizendo que a divulgação de vulnerabilidades não importa mais, o que seria encantador do mesmo jeito que um alarme de fumaça sem bateria é encantador. É dizer que o resumo semanal não é mais o melhor princípio organizador para a ação. Uma lista de números assustadores não é uma estratégia de correção.

Por que correr atrás de pontuações deixou de funcionar, segundo o The Register

O The Register observa que a Diretiva Operacional Vinculante 26-04 instrui as agências civis federais abrangidas a priorizar atualizações de segurança com base no risco do mundo real, em vez de tratar todas as vulnerabilidades e sistemas da mesma forma. Essa distinção é onde a gestão de vulnerabilidades deixa de ser trabalho burocrático e passa a ser engenharia de segurança.

O CVSS pode dizer que uma falha é tecnicamente severa, mas não pode dizer se o sistema afetado está exposto, se alguém está explorando o bug ou se o ativo vulnerável importa para as operações da sua organização. É assim que equipes acabam corrigindo uma falha dramática de alta severidade em um sistema interno de baixo valor enquanto uma vulnerabilidade explorada em um serviço exposto fica na fila, discretamente fazendo teste para virar resposta a incidente.

Atores de ameaça, como grupo, não se comovem com justiça. Eles não distribuem atenção de forma uniforme pelo seu backlog como pequenos gerentes de projeto caóticos. Eles seguem acesso, explorabilidade, exposição e recompensa.

O que substitui o ritual semanal, segundo a OffSeq

O Threat Radar da OffSeq resume o modelo pós-boletim assim: vulnerabilidades recém-registradas continuam disponíveis por meio do CVE.org, enquanto os usuários são incentivados a confiar no Catálogo de Vulnerabilidades Conhecidas Exploradas, nos Alertas e Avisos de Cibersegurança da CISA e nos alertas de segurança de fornecedores para atualizações mais acionáveis.

Em outras palavras, o feed bruto ainda existe, mas espera-se que os sinais de triagem tenham mais peso. Esta é a parte em que o café da manhã da equipe de segurança é substituído por correlação, inventário de ativos e o som distante de alguém resmungando para um sistema de tickets.

Jai Vijayan, da Dark Reading, também informou que a mudança da CISA é consistente com o conselho da agência de que as organizações priorizem vulnerabilidades que realmente importam. Essa frase deveria ser impressa acima de toda fila de patches. O fluxo de trabalho útil não é severidade sozinha, depois pânico, depois trabalho heroico no fim de semana. É exposição mais evidência de exploração mais impacto organizacional, e então urgência de correção.

O que isso realmente significa para você, segundo a Dark Reading

Para equipes de segurança, a lição prática da mudança da CISA é simples: pare de tratar toda CVE de alta severidade como se tivesse a mesma blindagem de protagonista. Comece pelas vulnerabilidades conhecidas por serem exploradas, especialmente quando os ativos afetados estão expostos. Em seguida, avalie se esses ativos dão suporte a serviços críticos, dados sensíveis, sistemas de identidade ou qualquer coisa cuja falha faria a liderança descobrir seu nome.

Depois, use as pontuações de severidade como evidência de apoio, não como o único juiz com um martelinho minúsculo. Isso não significa ignorar pontuações médias ou altas que não tenham evidência atual de exploração. Significa criar um programa de aplicação de patches que consiga explicar suas escolhas sem apontar para uma célula vermelha em uma planilha e sussurrar: contemplem.

Continue acompanhando como a CISA operacionaliza a BOD 26-04 e atualize seu processo de gestão de vulnerabilidades para que ele possa ingerir entradas do KEV, alertas, avisos de fornecedores, dados de exposição e contexto de ativos. O futuro não é ter menos CVEs. O futuro é ter uma triagem melhor, porque a internet continua sendo um trabalho em grupo e vários participantes estão mastigando a fiação.