CISA nimmt vier bekanntermaßen ausgenutzte Schwachstellen in den Katalog auf

Was passiert ist

CISA hat vier neue Schwachstellen in seinen Katalog bekanntermaßen ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, und zwar auf Grundlage von Belegen für eine aktive Ausnutzung. BOD 26-04 unterstreicht die Bedeutung des KEV-Katalogs und verpflichtet Bundesbehörden, die schnelle Behebung von Schwachstellen mit hohem Risiko zu priorisieren. Gemeint sind konkret jene Common Vulnerabilities and Exposures (CVEs), die im KEV-Katalog der CISA geführt werden und auf öffentlich erreichbaren Systemen liegen, die nach einer Ausnutzung die vollständige Kontrolle über das System ermöglichen. Maßnahmen für Schwachstellen mit geringerem Risiko werden dagegen zurückgestellt.

Die Binding Operational Directive (BOD) 26-04 mit dem Titel „Prioritizing Security Updates Based on Risk“ legt Anforderungen an das Schwachstellenmanagement für die zivilen Behörden der Bundesexekutive (Federal Civilian Executive Branch, FCEB) fest. Ferner definiert BOD 26-04 grundlegende Erwartungen dafür, wann Behörden prüfen müssen, ob Bedrohungsakteure (die Person oder Gruppe hinter einem Angriff) das System kompromittiert haben, bevor der Patch eingespielt wurde. CISA wird auch künftig Schwachstellen in den Katalog aufnehmen, die diese Kriterien erfüllen.