CISA BOD 26-04 exige correção de vulnerabilidades baseada em risco
Em 10 de junho de 2026, a Agência de Segurança de Infraestrutura e Cibersegurança dos EUA lançou a CISA BOD 26-04 para estabelecer um modelo moderno de correção de vulnerabilidades baseada em risco em sistemas federais. A diretiva altera o foco dos órgãos federais, abandonando cronogramas uniformes de atualização para priorizar falhas com maior ameaça operacional. Para empresas que atuam em ambientes de nuvem e de terceiros, a norma altera a gestão de conformidade ao exigir alinhamento do monitoramento de infraestrutura às métricas de risco federais.
Quatro variáveis que determinam o risco de vulnerabilidade
Na nova diretiva, a urgência para corrigir uma falha de software é calculada por quatro critérios operacionais. Essas variáveis são a exposição do ativo, o status no catálogo KEV (Vulnerabilidades Conhecidas Exploradas), a automação da exploração e o impacto técnico. A exposição do ativo determina se um item de hardware ou software pertence a um órgão e está acessível a redes públicas sem autenticação. A automação da exploração verifica se um cibercriminoso pode automatizar todas as etapas para explorar a falha. O impacto técnico diferencia um controle parcial, como acesso limitado ou ataques de negação de serviço, de um controle total sobre o software ou roubo direto de credenciais.
Exigências da BOD 26-04 para órgãos federais e provedores em nuvem
As exigências da BOD 26-04 determinam que os órgãos civis do Poder Executivo federal revisem suas políticas de gestão de vulnerabilidades imediatamente. De acordo com a seção 44 U.S.C. § 3554(a)(1)(B)(ii), as agências devem criar processos contínuos de correção e atribuir funções claras de execução. Em ambientes de terceiros, os sistemas certificados pelo FedRAMP devem manter monitoramento contínuo junto ao Escritório de Gestão do Programa FedRAMP. Para provedores de nuvem não certificados, as agências devem trabalhar diretamente com os fornecedores para garantir conformidade e documentar desvios técnicos.
BOD 26-04 em comparação à BOD 22-01 e diretivas anteriores
Ao comparar a BOD 26-04 com a BOD 22-01, a nova diretiva revoga oficialmente a BOD 22-01 de 3 de novembro de 2021 e a BOD 19-02 de 29 de abril de 2019. A CISA consolidou essas diretrizes em uma única política alinhada à Circular OMB A-130 e à Lei de Modernização da Segurança da Informação Federal de 2014. Padrões anteriores exigiam cronogramas uniformes para todos os sistemas conectados à internet. Agora, o novo modelo adia ações contra falhas de baixo risco para focar em vulnerabilidades críticas. A medida também atende a prioridades da Ordem Executiva para Inovação e Segurança em Inteligência Artificial.
Prazos de conformidade e aplicação da CISA BOD 26-04
O prazo de conformidade entrou em vigor imediatamente em 10 de junho de 2026 para revisões de políticas, com janelas urgentes quando surgem ameaças críticas. Na segunda-feira, 26 de outubro de 2026, a CISA aplicou o mecanismo ao incluir duas vulnerabilidades críticas no PHP2Shell, CVE-2026-109618 e CVE-2026-109619, em seu catálogo KEV. A agência emitiu um mandato de correção de 3 dias exigindo proteção até quinta-feira, 29 de outubro de 2026, após pesquisadores identificarem explorações ativas quatro dias antes do lançamento do patch pelo fabricante.
Recursos de implementação e orientação técnica
A CISA publicou o guia de implementação da CISA BOD 26-04 junto à diretiva principal para ajudar os encarregados de segurança a atualizar seus fluxos de trabalho. Para simplificar a pontuação de risco, a agência fornece avaliações de status KEV, automação de exploração e impacto técnico por meio de serviços como o Vulnrichment Program. Os órgãos federais devem aplicar as orientações do Internet Exposure Reduction Guidance para avaliar a exposição de seus ativos de rede.
Mudanças para fornecedores de nuvem e contratados federais
Para provedores comerciais de nuvem e contratados de tecnologia, a diretiva altera contratos e processos de monitoramento de vulnerabilidades. A norma não se aplica diretamente a contratados privados, a menos que esteja prevista em contrato. No entanto, as agências federais devem revisar contratos ativos com seus gestores para incluir as modificações necessárias. Fornecedores de infraestrutura em nuvem devem manter registros de inventário claros, apoiar o monitoramento contínuo colaborativo e adaptar fluxos de atualização para atender a ordens emergenciais de correção.
Perguntas e respostas
O que é a Diretiva Operacional Vinculativa CISA BOD 26-04?
A CISA BOD 26-04 é uma diretiva obrigatória emitida em 10 de junho de 2026 sob a seção 44 U.S.C. § 3552(b)(1) que estabelece padrões de correção de vulnerabilidades baseada em risco para órgãos civis do Poder Executivo federal dos EUA.
Quais são as quatro variáveis de risco na CISA BOD 26-04?
As quatro variáveis são a exposição do ativo, o status no catálogo de Vulnerabilidades Conhecidas Exploradas, a automação da exploração e o impacto técnico.
Como a BOD 26-04 afeta o FedRAMP e organizações do setor privado?
Órgãos com sistemas em ambientes certificados pelo FedRAMP devem se coordenar com o Escritório do Programa FedRAMP, enquanto contratados privados precisam adequar os termos contratuais com os gestores das agências federais.
A visão da MOZGII
Como nós construiríamos
Para criar um mecanismo de correção baseado em risco para conformidade federal, começaríamos com três fontes principais de dados: o inventário de ativos de software, varreduras de exposição em rede pública e feeds de vulnerabilidades como o Vulnrichment. Conectaríamos essas fontes a um modelo de pontuação que avaliaria a exposição dos ativos, a automação de exploits e os níveis de controle do sistema. Analistas de segurança revisariam casos em que o status do exploit fosse incerto ou quando um órgão pedisse um desvio técnico. Travas automatizadas imporiam janelas de correção e enviariam chamados urgentes diretamente para as equipes de infraestrutura.
O sistema falharia quando os registros de inventário em nuvem de terceiros estivessem incompletos ou desatualizados. Se um servidor não mapeado se conectasse à internet, o modelo de pontuação calcularia mal a exposição e deixaria passar falhas perigosas. A única métrica que acompanharíamos seria o tempo médio entre a inclusão no catálogo da CISA e a aplicação final da correção nos sistemas expostos.
Em seguida, criaríamos testes automatizados de verificação para checar se as correções de segurança aplicadas resolveriam as falhas alvo. Também adicionaríamos ferramentas de monitoramento de contratos para notificar os gestores sempre que os ambientes em nuvem de fornecedores fugissem das diretrizes.
Fontes
De onde vêm os fatos desta matéria.