近日，美国网络安全和基础设施安全局 CISA 发布新的约束性操作指令 BOD 26-04《基于风险优先级的安全更新》。该指令面向美国联邦民用行政机构，要求各机构根据漏洞风险等级制定更严格的修复计划。与此前较为统一的漏洞处置方式不同，新规更强调“风险优先、分级响应、限时修复”。
这项指令也被外界视为美国联邦漏洞管理体系的一次重要升级。它不仅取代了此前的 BOD 19-02 和 BOD 22-01，也将人工智能带来的安全变量纳入漏洞响应框架。CISA 在文件中指出，攻击者正在持续利用未修补漏洞，而 AI 技术的使用可能进一步压缩从补丁发布到漏洞被大规模利用之间的时间窗口。这意味着传统较长周期的漏洞修复模式，已经难以适应当前的攻击节奏。
CISA 此次发布新规的背景，是美国联邦网络系统面临更加复杂和持续的网络攻击压力。过去，漏洞从公开到被武器化往往还存在一定缓冲期，安全团队可以按照常规补丁周期逐步推进修复。但随着自动化工具、漏洞利用框架以及 AI 能力的发展，攻击者发现、分析和批量利用漏洞的速度正在提升。
在这种情况下，漏洞管理的重点不再只是“是否修复”，而是“先修哪些、多久修完、是否已经被攻击利用”。BOD 26-04 正是围绕这一思路，建立了更细化的风险判断机制。
新指令不再简单按照漏洞评分或严重等级一刀切处理，而是结合多个因素判断真实风险。CISA 主要从以下四个方面进行评估：
第一，资产是否暴露在公网。面向互联网开放、无需身份认证即可访问的系统，风险明显高于内部系统。
第二，漏洞是否进入 KEV 目录。KEV 即“已知被利用漏洞目录”，一旦漏洞被列入该目录，说明其已经存在真实攻击利用案例，修复优先级会被显著提高。
第三，漏洞是否容易被自动化利用。如果攻击者可以通过脚本或工具批量完成利用，那么该漏洞就具备更强的扩散风险。
第四，漏洞利用后的影响程度。CISA 区分了“部分控制”和“完全控制”两类影响。前者可能造成服务中断或局部破坏，后者则可能导致攻击者获取凭据、控制系统或进一步横向移动。
通过这些维度，CISA 将漏洞修复从过去相对粗放的管理方式，转向更贴近实际攻击风险的分级处置模式。
BOD 26-04 最受关注的地方，是大幅压缩了高风险漏洞的修复时限。
对于已经进入 KEV 目录、资产暴露在公网、可被自动化利用并可能导致攻击者完全控制系统的漏洞，相关机构必须在 3 天内完成修复，并同步开展取证分析，确认系统是否已经遭到入侵。
对于已进入 KEV 目录、资产公网暴露，但攻击影响为部分控制的漏洞，也需要在 3 天内修复。
如果漏洞已经进入 KEV 目录，但相关资产并未直接暴露在公网，修复时限为 7 天。
对于尚未进入 KEV 目录，但资产公网暴露、可自动化利用且可能造成完全控制的漏洞，修复期限为 30 天。
而对于未进入 KEV 目录、资产不暴露公网，或技术影响较低的漏洞，则可随系统计划性升级、重建或维护周期进行修复。
从规则可以看出，CISA 对 KEV 漏洞采取了非常严格的态度。只要漏洞已经被确认存在真实利用，无论资产是否公网暴露，最长修复周期也只有 7 天。
BOD 26-04 的核心变化，不只是把时间压得更短，而是改变了漏洞治理的逻辑。
过去，很多机构面对海量漏洞时，往往按照扫描结果逐项处理，容易出现“低风险漏洞修了很多，高风险漏洞仍然滞后”的问题。新指令强调基于实际风险排序，让安全资源优先集中在最容易被攻击、影响最大的漏洞上。
这种思路与 SSVC 等风险分类方法较为一致，关注的不只是漏洞本身有多严重，还包括资产是否暴露、是否正在被利用、攻击是否容易自动化、利用后是否能造成严重后果。对于大型机构而言，这种方式更符合现实场景，也更有利于提升漏洞修复效率。
新规不仅要求联邦机构内部更新漏洞管理策略，还要求其在规定时间内完成流程调整，并逐步按照新的时限表执行。相关机构还需要通过自动化方式向 CDM 联邦仪表盘报告漏洞修复状态。无法自动化报告的机构，则需要按周期提交人工报告。
值得注意的是，第三方托管环境、云服务平台以及 FedRAMP 相关系统也被纳入监管链条。这意味着漏洞修复责任不再局限于联邦机构自身，而是会进一步延伸到云厂商、托管服务商和供应链合作方。
对于服务政府和大型企业客户的安全厂商、云厂商以及系统集成商来说，这类规则变化具有较强参考意义。未来，客户在采购和运维过程中，可能会更加关注漏洞响应时限、资产暴露面管理、自动化扫描能力、KEV 跟踪能力和应急取证能力。
整体来看，BOD 26-04 代表了美国联邦网络安全管理的一次重要转向：从被动等待补丁周期，转向基于攻击风险的快速响应；从单纯追求漏洞数量清零，转向优先解决最可能造成实际攻击后果的问题。
在 AI 技术持续降低攻击门槛的背景下，漏洞利用速度会越来越快，安全团队留给自己的反应时间也会越来越短。未来，漏洞管理能力将不只是扫描和修补能力，更包括资产梳理、暴露面识别、威胁情报联动、自动化优先级判断、补丁验证和入侵取证等综合能力。
对企业而言，这一变化同样值得关注。无论是否直接受美国联邦规则约束，类似的风险分级修复机制，都可能成为大型组织和关键行业建设漏洞管理体系的重要参考标准。
网站资讯
渠道合作
解决方案
更多服务
