La directive CISA BOD 26-04 impose un correctif de cybersécurité axé sur le risque
Le 10 juin 2026, la Cybersecurity and Infrastructure Security Agency a publié la directive CISA BOD 26-04 afin d'établir un cadre moderne pour la correction des vulnérabilités axée sur le risque au sein des systèmes fédéraux. Cette directive abandonne les calendriers de correctif uniformes pour concentrer les ressources des agences sur les failles présentant les menaces opérationnelles les plus élevées. Pour les entreprises opérant dans des environnements tiers et cloud, elle transforme la gestion de la conformité en exigeant des sous-traitants et des fournisseurs de services cloud qu'ils alignent la surveillance de leurs infrastructures sur les métriques de risque fédérales.
Quatre variables qui déterminent le risque d'une vulnérabilité
En vertu de la directive, l'urgence de corriger une faille logicielle est calculée à l'aide de quatre critères opérationnels distincts. Ces variables comprennent l'exposition de l'actif, le statut dans le catalogue des vulnérabilités exploitées connues (KEV), l'automatisation de l'exploitation et l'impact technique. L'exposition de l'actif détermine si un matériel ou un logiciel appartenant à une agence est accessible à des entités non authentifiées sur des réseaux publics. L'automatisation de l'exploitation vérifie si un adversaire peut automatiser chaque étape nécessaire à l'exploitation de la faille. L'impact technique fait la distinction entre un contrôle partiel, tel qu'un accès logiciel limité ou des attaques par déni de service, et un contrôle total, qui permet à un adversaire de prendre le contrôle absolu du comportement du logiciel ou d'extraire de manière fiable des identifiants de connexion.
Exigences de la directive BOD 26-04 pour les agences fédérales et les fournisseurs cloud
Les exigences de la directive BOD 26-04 imposent aux agences exécutives civiles fédérales de revoir et de mettre à jour immédiatement leurs politiques de gestion des vulnérabilités. Conformément au 44 U.S.C. § 3554(a)(1)(B)(ii), les agences doivent établir des processus de correction continus et attribuer des rôles clairs pour leur exécution. Pour les systèmes d'information fédéraux hébergés dans des environnements tiers, les agences qui maintiennent des offres certifiées par le Federal Risk and Authorization Management Program doivent assurer une surveillance continue par l'intermédiaire du bureau de gestion du programme FedRAMP. Lors de l'utilisation de fournisseurs de services cloud non certifiés, les agences doivent collaborer directement avec les prestataires pour vérifier que l'infrastructure sous-jacente respecte l'ensemble des directives et que les écarts techniques sont entièrement documentés.
BOD 26-04 comparativement à la directive BOD 22-01 et aux précédentes
En évaluant la directive BOD 26-04 par rapport à la directive BOD 22-01, la nouvelle directive abroge officiellement la BOD 22-01 du 3 novembre 2021 et la BOD 19-02 du 29 avril 2019. La CISA a regroupé ces directives distinctes en une politique unique alignée sur la circulaire A-130 de l'OMB et le Federal Information Security Modernization Act de 2014. Alors que les normes précédentes imposaient des échéanciers de correction uniformes pour tous les systèmes accessibles sur Internet, le nouveau cadre reporte les actions contre les failles à faible risque afin de concentrer les ressources sur les vulnérabilités à haut risque. Il fait également progresser les priorités nationales définies dans le décret exécutif sur la promotion de l'innovation et de la sécurité de l'intelligence artificielle avancée.
Calendrier de conformité et mise en application de la directive CISA BOD 26-04
Le calendrier de conformité est entré en vigueur immédiatement le 10 juin 2026 pour les révisions de politiques obligatoires, avec des fenêtres de correctif d'urgence établies dès l'apparition de menaces critiques. Le lundi 26 octobre 2026, la CISA a illustré ce mécanisme d'application en ajoutant deux vulnérabilités critiques PHP2Shell, CVE-2026-109618 et CVE-2026-109619, à son catalogue KEV. La CISA a publié un mandat de correctif en 3 jours exigeant des agences qu'elles sécurisent leurs systèmes non corrigés d'ici le jeudi 29 octobre 2026, après que des chercheurs en sécurité ont observé des tentatives d'exploitation à grande échelle se produisant 4 jours avant la sortie du correctif par le fournisseur.
Ressources pour la mise en œuvre et directives techniques
La CISA a publié un guide de mise en œuvre de la directive CISA BOD 26-04 aux côtés du texte principal afin d'aider les responsables de la sécurité des agences à adapter leurs flux de travail opérationnels. Pour simplifier l'évaluation de la sévérité des vulnérabilités, la CISA fournit des évaluations du statut KEV, de l'automatisation de l'exploitation et de l'impact technique pour chaque identifiant de vulnérabilité commune à travers des services tels que le programme Vulnrichment. Les agences fédérales sont invitées à appliquer le guide de réduction de l'exposition à Internet de la CISA lors de l'évaluation de l'exposition des actifs sur les interfaces réseau publiques.
Les enjeux pour les fournisseurs cloud et les sous-traitants fédéraux
Pour les fournisseurs commerciaux de services cloud et les sous-traitants technologiques fédéraux, la directive modifie la façon dont la correction des vulnérabilités est contractualisée et surveillée. La directive ne s'applique pas directement aux sous-traitants privés à moins d'être stipulée dans les contrats d'approvisionnement, mais les agences fédérales sont tenues d'examiner tous les contrats actifs avec les responsables des achats afin d'y apporter les modifications nécessaires. Les fournisseurs d'infrastructures cloud aux agences fédérales doivent désormais tenir des journaux d'inventaire clairs, appuyer une surveillance continue collaborative et ajuster leurs flux de correction pour respecter des mandats d'urgence accélérés lorsque des failles à haut risque sont identifiées.
Questions et réponses
Qu'est-ce que la directive opérationnelle contraignante CISA BOD 26-04 ?
La directive opérationnelle contraignante CISA BOD 26-04 est une instruction obligatoire promulguée le 10 juin 2026 en vertu du 44 U.S.C. § 3552(b)(1) qui établit des normes de correction des vulnérabilités axées sur le risque pour les agences exécutives civiles fédérales.
Quelles sont les quatre variables de risque de la directive CISA BOD 26-04 ?
Les quatre variables de risque sont l'exposition de l'actif, le statut dans le catalogue des vulnérabilités exploitées connues (KEV), l'automatisation de l'exploitation et l'impact technique.
Quel est l'impact de la directive BOD 26-04 sur FedRAMP et le secteur privé ?
Les agences exploitant des systèmes dans des environnements certifiés FedRAMP doivent se coordonner avec le bureau de gestion du programme FedRAMP pour maintenir leur conformité, tandis que les sous-traitants privés doivent travailler avec les responsables des achats des agences pour aligner les termes des contrats d'approvisionnement sur les exigences de la directive.
Le regard de MOZGII
Comment nous le construirions
Pour concevoir un moteur de gestion des correctifs fondé sur le risque et conforme aux exigences fédérales, nous commencerions par trois sources de données centrales : l'inventaire du parc logiciel, les analyses d'exposition sur les réseaux publics et les flux de vulnérabilités comme Vulnrichment. Nous relierions ces flux à un modèle d'évaluation qui mesurerait l'exposition des actifs, l'automatisation des exploitations et le niveau de contrôle des systèmes. Les analystes en sécurité examineraient les cas particuliers où l'état d'exploitation demeure incertain ou lorsqu'une administration demanderait une dérogation technique. Des garde-fous automatisés imposeraient des plages de correction et transmettraient les tickets urgents directement aux équipes d'infrastructure.
Le système défaillirait si les journaux d'inventaire du nuage tiers étaient incomplets ou obsolètes. Si un serveur non répertorié se connectait à Internet, le modèle d'évaluation calculerait mal l'exposition et raterait des failles dangereuses. L'unique indicateur que nous suivrions serait le délai moyen entre l'ajout au catalogue de la CISA et le déploiement effectif du correctif sur les systèmes exposés.
Ensuite, nous créerions des contrôles de vérification automatisés afin de vérifier si les correctifs appliqués résolvent avec succès les failles visées. Nous ajouterions également des outils de suivi contractuel qui avertiraient les responsables des marchés dès qu'un environnement en nuage d'un fournisseur s'écarterait des directives requises.
Sources
D’où viennent les faits de cet article.