Die im Juni veröffentlichte Direktive BOD 26-04 verpflichtet US-Bundesbehörden dazu, ihre Richtlinien für das Schwachstellenmanagement zu überprüfen und zu aktualisieren. Vorrang bei der Behebung sollen dabei jene Lücken erhalten, die im KEV-Katalog der CISA geführt werden – dem Verzeichnis bekannter, aktiv ausgenutzter Schwachstellen.
Genau darauf zielt auch die Einstellung des Bulletins ab. Die Maßnahme stehe im Einklang mit BOD 26-04, erklärte die Behörde: Die Direktive weise Bundesbehörden an, Schwachstellen anhand realer Risikofaktoren zu priorisieren, einschließlich Hinweisen auf Ausnutzung und Exposition, statt sich allein auf Schweregrad-Bewertungen zu stützen.
Damit folgt CISA einer Entwicklung, die sich in den vergangenen Jahren branchenweit abgezeichnet hat: die Abkehr davon, sich ausschließlich auf CVSS-Metriken zu verlassen. CVSS misst die theoretische technische Schwere einer Lücke. Moderne, risikobasierte Ansätze im Schwachstellenmanagement gewichten dagegen aktive Exploits, das Interesse von Angreifern und den Grad der Exposition.
Der 2021 eingeführte KEV-Katalog hat allgemeine Schwachstellen-Übersichten als zentralen Bezugspunkt für Verteidiger weitgehend verdrängt. Weil er sich strikt auf Lücken mit dokumentierter Ausnutzung in freier Wildbahn beschränkt, liefert er eine unmittelbar handlungsleitende Priorisierung – etwas, das ein statisches Wochenbulletin nicht bieten konnte.
Das Bulletin selbst listete die neu erfassten Schwachstellen jede Woche in tabellarischer Form auf: Produktname, Beschreibung des Fehlers, Veröffentlichungsdatum, Schweregrad, CVSS-Score, CVE-Nummer und, falls vorhanden, Patch-Informationen. Die Einträge waren alphabetisch nach betroffenem Produkt und nach Schweregrad geordnet, umfassten pro Ausgabe jedoch Tausende Einträge – ohne jeden Hinweis darauf, welche davon zuerst anzugehen sind. Ohne Bedrohungsinformationen oder Kontext zur tatsächlichen Ausnutzung begünstigt eine solche Masse an Meldungen die Alarmmüdigkeit in Sicherheitsteams.
Für Security Operations Center, die das wöchentliche Format als Informationsquelle über neue Schwachstellen genutzt haben, entfällt mit dem 28. September eine etablierte Routine. CISA kündigte an, risikobezogene Informationen zu Schwachstellen weiterhin über den KEV-Katalog sowie über Alerts und Advisories bereitzustellen.