CISA, Haftalık Zafiyet Bülteni Yayınlamaya Son Veriyor

ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), güvenlik profesyonellerinin yakından takip ettiği haftalık zafiyet bültenini sonlandırma kararı aldı. Ajans, 28 Eylül Pazartesi günü itibarıyla bu bültenin artık yayınlanmayacağını duyurdu.

Bu değişikliğin temelinde, kurumun statik CVSS puanlarına dayalı geleneksel yönetim anlayışından, risk odaklı modern bir yaklaşıma geçişi yatıyor. Haziran ayında yayınlanan Bağlayıcı Operasyonel Direktif (BOD), federal kurumların güvenlik güncellemelerini tüm sistemlere eşit davranmak yerine, gerçek dünyadaki risk seviyelerine göre önceliklendirmesini zorunlu kılıyor. CISA, bu yeni modelin yüksek riskli zafiyetlerin zamanında giderilmesini sağlarken, düşük riskli açıkların yönetimini daha verimli hale getireceğini belirtiyor.

Kurumun yeni stratejisi; zafiyetin sömürülme kanıtlarını, saldırganın elde edeceği kontrol seviyesini ve saldırının otomatize edilip edilemeyeceğini temel alıyor. Uzmanlar, bu kararın arkasında artan zafiyet sayısının bülten formatını sürdürülemez kılması olabileceğini değerlendiriyor. Yapay zeka destekli araştırmaların hızlanmasıyla birlikte yamalanması gereken açık sayısı katlanarak artarken, National Vulnerability Database üzerindeki birikmiş iş yükü ve yapay zeka ile üretilen sahte raporlar, CVE ekosistemini zorlamaya devam ediyor.

CISA, güvenlik uzmanlarının CVE verilerini takip etmeyi bırakmaması gerektiğini vurguluyor. Bülten abonelerinin, güncel kalmak için KEV Catalog (Bilinen Sömürülen Zafiyetler Kataloğu) ve kurumun yayınladığı siber güvenlik uyarılarına yönelmesi gerekiyor.