توجيه CISA BOD 26-04 يفرض معالجة الثغرات الأمنية بناءً على تقييم المخاطر
في 10 يونيو 2026، أصدرت وكالة أمن البنية التحتية والأمن السيبراني توجيه CISA BOD 26-04 لإرساء إطار حديث لمعالجة الثغرات الأمنية القائم على المخاطر عبر الأنظمة الفيدرالية. وينقل التوجيه الوكالات من جدول تصحيح الثغرات الموحد لتركز الموارد على العيوب التي تشكل أكبر التهديدات التشغيلية. وبالنسبة للشركات التي تعمل في بيئات السحاب والجهات الخارجية، فإنه يغير إدارة الامتثال من خلال إلزام المقاولين ומزودي الخدمات السحابية بمواءمة مراقبة البنية التحتية مع مقاييس المخاطر الفيدرالية.
أربع متغيرة تحدد درجة خطورة الثغرات
بموجب التوجيه الجديد، يتم حساب درجة إلحاح إصلاح الخلل البرمجي باستخدام أربعة معايير تشغيلية متميزة. وتتكون هذه المتغيرات من مدى تعرض الأصول للشبكة، وحالة الكتالوج الخاص بالثغرات المعروفة المستغلة KEV، وأتمتة الاستغلال، والأثر التقني. ويحدد معيار تعرض الأصول ما إذا كان جهاز أو برنامج مملوك للوكالة متاحًا للكيانات غير الموثوقة عبر الشبكات العامة. وتتحقق أتمتة الاستغلال مما إذا كان بإمكان المهاجم أتمتة كل خطوة لازمة لاستغلال الخلل. بينما يفرق الأثر التقني بين التحكم الجزئي، مثل الوصول المحدود للبرامج أو هجمات حجب الخدمة، وبين التحكم الكامل الذي يمنح المهاجم هيمنة تامة على سلوك البرامج أو استعادة بيانات الاعتماد بشكل موثوق.
متطلبات BOD 26-04 للوكالات الفيدرالية ومزودي الخدمات السحابية
تتطلب متطلبات BOD 26-04 من وكالات الفرع التنفيذي المدني الفيدرالي مراجعة وتحديث سياسات إدارة الثغرات لديه فورًا. وبموجب المادة 44 U.S.C. § 3554(a)(1)(B)(ii)، يجب على الوكالات إنشاء عمليات معالجة مستمرة وتعيين أدوار واضحة للتنفيذ. وبالنسبة للأنظمة المعلوماتية الفيدرالية في بيئات الأطراف الخارجية، يتعين على الوكالات التي تحافظ على عروض معتمدة من برنامج FedRAMP ضمان المراقبة المستمرة من خلال مكتب إدارة برنامج FedRAMP. وعند استخدام مزودي خدمات سحابية غير معتمدين، يجب على الوكالات العمل مباشرة مع الموردين للتحقق من أن البنية التحتية الداعمة تلبي جميع إرشادات التوجيه مع توثيق الانحرافات الفنية بالكامل.
مقارنة بين BOD 26-04 و BOD 22-01 والتوجيهات السابقة
عند تقييم BOD 26-04 مقابل BOD 22-01، يلغي التوجيه الجديد رسميًا كلًا من BOD 22-01 الصادر في 3 نوفمبر 2021، و BOD 19-02 الصادر في 29 أبريل 2019. وقد دمجت CISA هذه الإرشادات المنفصلة في سياسة واحدة تتوافق مع منشور OMB Circular A-130 وقانون تحديث الأمن السيبراني الفيدرالي لعام 2014. وبينما كانت المعايير السابقة تفرض جداول إصلاح موحدة عبر جميع الأنظمة المتصلة بالإنترنت، فإن الإطار الجديد يؤجل الإجراءات ضد العيوب منخفضة المخاطر لتركيز الموارد على الثغرات عالية الخطورة. كما أنه يدعم الأولويات الوطنية المحددة بموجب الأمر التنفيذي لتعزيز الابتكار والأمن في الذكاء الاصطناعي المتقدم.
الجدول الزمني للامتثال لتوجيه CISA BOD 26-04 وآلية الإنفاذ
دخل الجدول الزمني للامتثال حيز التنفيذ فورًا في 10 يونيو 2026 لمراجعة السياسات الإلزامية، مع تحديد فترات زمنية عاجلة لتثبيت التحديثات كلما ظهرت تهديدات حرجة. وفي يوم الاثنين 26 أكتوبر 2026، أثبتت CISA آلية الإنفاذ هذه بإضافة ثغرتين حرجتين في PHP2Shell، هما CVE-2026-109618 و CVE-2026-109619، إلى كتالوج الثغرات المعروفة المستغلة KEV. وأصدرت الوكالة أمرًا بإصلاح الثغرات خلال مهلة 3 أيام يطالب الوكالات بتأمين الأنظمة غير المحدثة بحلول يوم الخميس 29 أكتوبر 2026، بعد أن لاحظ الباحثون الأمنيّون محاولات استغلال واسعة النطاق تحدث قبل 4 أيام من إصدار التحديث الرسمي من المورد.
الموارد المتاحة للتنفيذ والإرشادات الفنية
نشرت CISA دليلاً لتنفيذ CISA BOD 26-04 إلى جانب التوجيه الرئيسي لمساعدة مسؤولي الأمن في الوكالات على تحديث سير العمل التشغيلي. ولتبسيط تقييم درجة خطورة الثغرات، توفر CISA تقييمات لحالة KEV وأتمتة الاستغلال والأثر التقني لكل معرف ثغرة شائعة من خلال خدمات مثل برنامج Vulnrichment Program. وتُوجَّه الوكالات الفيدرالية لتطبيق إرشادات CISA للحد من التعرض للإنترنت عند تقييم مدى تعرض الأصول عبر واجهات الشبكة العامة.
ما الذي يتغير بالنسبة لمزودي السحابة والمقاولين الفيدراليين
بالنسبة لمزودي الخدمات السحابية التجارية ومقاولي التكنولوجيا الفيدراليين، يغير التوجيه كيفية التعاقد على معالجة الثغرات ومراقبتها. لا ينطبق التوجيه بشكل مباشر على المقاولين القطاع الخاص ما لم ينص على ذلك في عقود المشتريات، ولكن يُطلب من الوكالات الفيدرالية مراجعة جميع العقود النشطة مع مسؤولي التعاقد لإدخال التعديلات اللازمة. ويجب على الموردين الذين يقدمون بنية تحتية سحابية للوكالات الفيدرالية الآن الاحتفاظ بسجلات مخزون واضحة، ودعم المراقبة المستمرة التعاونية، وتعديل سير عمل إصلاح البرمجيات لتلبية الإجراءات الطارئة المسرعة عند تحديد عيوب عالية الخطورة.
أسئلة وشكوك شائعة
ما هو التوجيه التشغيلي الملزم CISA BOD 26-04؟
التوجيه التشغيلي الملزم CISA BOD 26-04 هو تعليمات إجباريّة صدرت في 10 يونيو 2026 بموجب المادة 44 U.S.C. § 3552(b)(1)، وتحدد معايير معالجة الثغرات الأمنية القائمة على المخاطر لوكالات الفرع التنفيذي المدني الفيدرالي.
ما هي متغيرات المخاطر الأربعة في CISA BOD 26-04؟
متغيرات المخاطر الأربعة هي تعرض الأصول للشبكة، وحالة كتالوج الثغرات المعروفة المستغلة KEV، وأتمتة الاستغلال، والأثر التقني.
كيف يؤثر BOD 26-04 على FedRAMP ومؤسسات القطاع الخاص؟
يجب على الوكالات التي تشغل أنظمة في بيئات معتمدة من FedRAMP التنسيق من خلال مكتب إدارة برنامج FedRAMP للحفاظ على الامتثال، بينما يتعين على المقاولين الخواص العمل مع مسؤولي التعاقد في الوكالات لمواءمة شروط عقود المشتريات مع متطلبات التوجيه.
رؤية MOZGII
كيف كنا سنبنيه
لبناء محرك لإصلاح الثغرات قائم على المخاطر بهدف الالتزام الفيدرالي، لبدأنا بثلاثة مصادر بيانات أساسية: حصر الأصول البرمجية، وفحوصات التعرض للشبكة العامة، وتغذيات الثغرات مثل Vulnrichment. ولربطنا هذه التغذيات بنموذج تقييم يقيس مستوى تعرض الأصول، وأتمتة استغلال الثغرات، ومستويات التحكم في النظام. ولراجع محللو الأمن الحالات الاستثنائية التي يكون فيها وضع الاستغلال غير مؤكد أو عندما تطلب جهة استثناءً تقنياً. ولفرضت ضوابط الحماية المؤتمتة أوقات التحديث وأرسلت التذاكر العاجلة مباشرة إلى فرق البنية التحتية.
ويتوقف النظام عن العمل عندما تكون سجلات حصر السحاب الخارجية غير مكتملة أو قديمة. وإذا اتصل خادم غير مسجل بالإنترنت، فيحسب نموذج التقييم مستوى التعرض بشكل خاطئ ويتجاهل ثغرات خطيرة. والمؤشر الوحيد الذي لراقبناه هو متوسط الوقت المنقضي من إضافة الثغرة إلى كتالوج CISA حتى اكتمال نشر الإصلاح على الأنظمة المعرضة.
بعد ذلك، لبنينا فحوصات تحقق مؤتمتة تختبر ما إذا كانت الإصلاحات الأمنية المطبقة تعالج الثغرات المستهدفة بنجاح. ولأضفنا أيضاً أدوات لمراقبة العقود تنبه مسؤولي التعاقد كلما انحرفت بيئات السحاب الخاصة بالموردين عن التوجيهات الإرشادية.
المصادر
من أين جاءت حقائق هذا الخبر.