Il 9 luglio 2026, la Cybersecurity and Infrastructure Security Agency ha pubblicato la Binding Operational Directive 26-04, una direttiva vincolante che sostituisce definitivamente il modello di remediation uniforme introdotto da BOD 22-01. Le agenzie del Federal Civilian Executive Branch devono ora chiudere le vulnerabilità KEV pubblicamente esposte e classificate di massimo rischio entro 72 ore, contro le due settimane previste in precedenza. Il cambiamento è radicale: il punteggio CVSS da solo non basta più a determinare l'urgenza.
- BOD 26-04 impone una SLA di 3 giorni per le vulnerabilità KEV pubblicamente esposte che soddisfano tutti e quattro i criteri di massimo rischio, sostituendo le timeline fisse di BOD 22-01.
- La prioritizzazione si basa su quattro variabili operative: asset exposure, KEV status, exploit automation e technical impact, con le valutazioni di CISA fornite tramite il Vulnrichment Program.
- La remediation include isolamento asset, mitigazione e disinstallazione, non solo patching: BOD 26-04 definisce esplicitamente "remediation" come qualsiasi azione che elimini la vulnerabilità.
- Secondo l'analisi operativa di Qualys, circa il 90% dei sistemi vulnerabili risiede su endpoint automatizzabili, mentre il 10% restante su sistemi critici richiede scrutinio manuale e deployment staged.
Da CVSS a risk-based: le quattro variabili che decidono i 72 ore
La direttiva introduce un quadro decisionale a quattro dimensioni. Asset Exposure richiede alle agenzie di mappare sistematicamente la superficie di attacco esposta a Internet, seguendo le linee guida specifiche di CISA. KEV Status verifica se la vulnerabilità è presente nel catalogo Known Exploited Vulnerabilities mantenuto dall'agenzia. Exploit Automation misura se l'exploitation richiede azione manuale o è automatizzabile. Technical Impact valuta la severità conseguente a un eventuale sfruttamento.
CISA pubblica le risposte per tre di queste variabili attraverso il Vulnrichment Program. La quarta, l'asset exposure, resta responsabilità delle singole agenzie. La combinazione di questi fattori determina quale vulnerabilità rientra nella fascia di massima urgenza con i tre giorni di tempo.
"Known exploited vulnerabilities are a frequent attack vector for malicious cyber actors, including those backed by nation-states that aim to compromise U.S. critical infrastructure"
— CISA BOD 26-04
Il paradosso operativo: perché gli endpoint vengono prima dei server critici
La nuova architettura di prioritizzazione genera un effetto contro-intuitivo. La maggior parte delle istanze di vulnerabilità KEV si trova su laptop, workstation e endpoint degli utenti, non sui sistemi di produzione mission-critical. Questi endpoint sono anche i più adatti alla remediation automatizzata, mentre i server critici richiedono finestre di manutenzione pianificate e test di regressione.
La fonte citata propone un approccio a due tracce parallele: remediation automatizzata immediata su endpoint, deployment staged su sistemi critici. La logica è che chiudere rapidamente il volume più ampo di superficie di attacco riduce il rischio aggregato più della concentrazione sul singolo asset sensibile. Il dato riportato è di circa il 90% di sistemi dove l'automazione è applicabile contro il 10% che necessita di maggiore scrutinio.
Questa ripartizione pone un problema di orchestrazione. I team di vulnerability management devono eseguire remediation simultanee su centinaia o migliaia di endpoint senza interrompere le attività operative, mentre parallelamente gestiscono il ciclo di test per i sistemi che non tollerano il riavvio automatico.
Remediation senza patch: cosa permette esplicitamente la direttiva
BOD 26-04 allarga significativamente il perimetro delle azioni valide. La direttiva definisce "remediation" come qualsiasi azione che elimini la vulnerabilità, includendo esplicitamente l'isolamento dell'asset, la mitigazione configurativa o la disinstallazione del componente vulnerabile. Questa definizione è funzionale allo SLA di 72 ore: quando il vendor non ha ancora rilasciato una patch, l'organizzazione può comunque comprare tempo con contromisure alternative.
Le tecniche "patchless" citate dalla fonte — isolamento di rete, disabilitazione di funzionalità, restrizioni di accesso — diventano strumenti di compliance formalmente riconosciuti, non più workaround informali. La direttiva non specifica quali tecniche siano preferibili in quali contesti, lasciando alle agenzie la determinazione caso per caso.
Perché è importante
Il dossier non specifica il numero di agenzie FCEB attualmente in grado di soddisfare la nuova SLA, né documenta metriche di efficacia dell'approccio a due tracce in implementazioni reali. Mancano inoltre i dettagli completi della tabella timeline e i requisiti di reporting CISA, che potrebbero contenere ulteriori vincoli operativi.
Il passaggio da CVSS-centric a risk-based richiede riprogettazione dei processi di vulnerability management, nuovi strumenti di asset visibility e capacità di remediation orchestrata. Per le organizzazioni che lavorano con contratti governativi federali, BOD 26-04 stabilisce un nuovo standard de facto che influenza gli SLA contrattuali e le aspettative dei clienti enterprise. La direttiva si applica espressamente ai sistemi FCEB, esclusi i national security systems, e richiede per i sistemi cloud FedRAMP-certified il coordinamento con il FedRAMP Program Management Office.
La revoca di BOD 19-02 e BOD 22-01 è definitiva: non esiste più un modello uniforme di remediation per tutte le vulnerabilità KEV. Le agenzie devono ora implementare processi in grado di classificare dinamicamente ogni nuova vulnerabilità secondo le quattro variabili operative.
Lettura: la velocità come nuovo parametro di sicurezza
Il dato politico è che CISA ha scelto di rendere vincolante un approccio già dibattuto nel settore privato: la sicurezza non è più una funzione del punteggio teorico, ma della capacità di risposta misurata in ore. Questo sposta il problema dal dominio puramente tecnico a quello organizzativo e contrattuale. Le agenzie federali dovranno dimostrare non solo di avere visibility completa, ma di poter eseguire azioni correttive in tracce parallele con latenze predeterminate.
Il rischio implicito è che la pressione sui 72 ore generi remediation superficiali — isolamenti di rete mal documentati, mitigazioni temporanee mai convertite in patch definitive, disinstallazioni che compromettono funzionalità business-critical. La direttiva non include meccanismi di audit sulla qualità della remediation, solo sulla sua tempestività. La misura del successo diventa il tempo, non la completezza.
Domande frequenti
BOD 26-04 si applica anche alle aziende private?
No. La direttiva è vincolante per le agenzie del Federal Civilian Executive Branch. Tuttavia, le organizzazioni private che forniscono servizi IT al governo federale o che operano in catene di subfornitura possono vedere gli SLA di BOD 26-04 propagarsi nei contratti commerciali.
Che succede se non esiste ancora una patch per una KEV classificata di massimo rischio?
La direttiva include esplicitamente tra le azioni valide l'isolamento asset, la mitigazione e la disinstallazione. Non è richiesto necessariamente il patching, ma l'eliminazione della condizione di vulnerabilità entro la SLA di 72 ore.
Quali direttive precedenti vengono sostituite?
BOD 26-04 revoca e sostituisce BOD 19-02 del 29 aprile 2019 e BOD 22-01 del 3 novembre 2021. Il modello uniforme di timeline fisse di queste direttive è definitivamente abbandonato.
Fonti
- https://blog.qualys.com/product-tech/2026/07/09/cisa-bod-26-04-3-day-remediation-sla
- https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- https://www.cookiebot.com/
- https://success.qualys.com/discussions/s/#start-a-discussion
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.