CISA ngừng bản tin lỗ hổng bảo mật hằng tuần
"CISA announced it will discontinue its weekly vulnerability bulletin on September 28, 2026, as part of a shift from static CVSS-based severity ranking to a risk-based prioritization model. The agency says federal agencies should instead rely on the Known Exploited Vulnerabilities (KEV) catalog, cybersecurity alerts/advisories, and the CVE catalog; no specific CVE is discussed and no patch is involved in this announcement."
Ảnh hưởng chính là thay đổi cách theo dõi và ưu tiên lỗ hổng, với nguy cơ bỏ sót cảnh báo nếu chưa cập nhật kênh nhận tin. Không có CVE hay bản vá cụ thể trong thông báo này.
Tác động vận hành chủ yếu nằm ở việc phải điều chỉnh quy trình và đăng ký thông báo mới, có thể gây gián đoạn ngắn hạn cho đội SOC/IT. Về dài hạn, mô hình ưu tiên theo rủi ro có thể giúp tập trung nguồn lực tốt hơn.
CISA cho biết sẽ dừng phát hành weekly vulnerability bulletin từ ngày 28/9/2026, trong khuôn khổ chuyển sang mô hình ưu tiên theo rủi ro thay vì chỉ dựa trên CVSS tĩnh. Theo cơ quan này, các đơn vị liên bang thuộc phạm vi áp dụng nên ưu tiên theo Known Exploited Vulnerabilities (KEV) catalog, các cybersecurity alerts/advisories và CVE catalog để theo dõi lỗ hổng và hành động khắc phục.
Thông báo này không đề cập đến CVE cụ thể nào và cũng không có bản vá đi kèm. CISA cho biết cách tiếp cận mới xem xét các yếu tố như dấu hiệu bị khai thác, mức độ kiểm soát mà kẻ tấn công có thể đạt được và khả năng tự động hóa khai thác.
Với các đội vận hành an ninh, thay đổi này có thể làm gián đoạn quy trình theo dõi quen thuộc nếu vẫn phụ thuộc vào bản tin định kỳ. Khuyến nghị kỹ thuật là kiểm tra lại các đăng ký qua GovDelivery hoặc Granicus, bảo đảm đã bật nhận KEV Catalog và Cybersecurity Advisories, đồng thời rà soát quy trình ưu tiên vá lỗi để phù hợp với mô hình risk-based prioritization mới.