CISA停止发布延续22年的每周漏洞公告：从按严重性评分转向基于真实风险的优先级管理

转型的制度依据是CISA于2026年6月发布的约束性操作指令（BOD 26-04）：联邦机构须依据真实风险因素确定补丁修复的优先级，包括资产是否面向互联网暴露、攻击能否被自动化等，而非仅依赖通用漏洞评分系统（CVSS）分值。虽然该指令仅约束联邦机构，CISA希望其他组织按同样逻辑评估自身风险。

CISA推动的替代方法是利益相关者特定脆弱性分类（SSVC），该方法将利用证据与资产暴露情况纳入判断。CISA代理网络安全执行助理主任Chris Butera表示，多家漏洞管理软件厂商已在将这一逻辑内建到其工具中。CISA确认，专项安全公告将继续发布，已知被利用漏洞（KEV）目录也将持续更新，消失的是“高分值即工单”的隐含假设。

推动这一转向的背景是漏洞发现速度的急剧变化。AI辅助的安全研究正加速缺陷发现，微软在其最近一次更新中报告了近1000个漏洞。CISA漏洞响应负责人Lindsey Cerkovnik 8月在DEF CON上表示，大多数漏洞并不重要，而重要的漏洞对不同组织的权重各不相同。安全团队面临的已不是数据问题，而是优先级问题。

对企业合规与安全治理的启示是：网络安全防护义务的有效性评估标准正在从“是否及时修复了所有高危漏洞”转向“是否基于真实风险作出了可解释的修复决策”。这要求组织建立资产暴露度清单、在野利用情报对接机制与分层处置流程，并留存决策依据。对受《网络数据安全管理条例》等要求约束的国内企业，这一方法论同样具备参考价值。