L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié une catalogue de vulnérabilités, notamment d’Apple, Cisco, Microsoft et Google, qui ont connu des exploits et sont activement exploitées par des cyber-acteurs malveillants, en plus d’exiger des agences fédérales qu’elles donnent la priorité à l’application de correctifs pour ces failles de sécurité dans des délais « agressifs ».

« Ces vulnérabilités présentent un risque important pour les agences et l’entreprise fédérale », a déclaré l’agence. mentionné dans une directive opérationnelle contraignante (BOD) publiée mercredi. « Il est essentiel de corriger de manière agressive les vulnérabilités exploitées connues pour protéger les systèmes d’information fédéraux et réduire les cyberincidents. »

Environ 176 vulnérabilités identifiées entre 2017 et 2020, et 100 failles de 2021 ont fait leur chemin vers la liste initiale, qui devrait être mise à jour avec des vulnérabilités supplémentaires activement exploitées au fur et à mesure qu’elles sont connues, à condition qu’elles aient été affectées aux vulnérabilités et expositions communes ( CVE) et ont une action de correction claire.

La directive contraignante exige que les vulnérabilités de sécurité découvertes en 2021 – celles suivies comme CVE-2021-XXXXX – soient corrigées d’ici le 17 novembre 2021, tout en fixant une date limite de mise à jour au 3 mai 2022 pour les vulnérabilités plus anciennes restantes. Bien que le BOD soit principalement destiné aux agences civiles fédérales, la CISA recommande aux entreprises privées et aux entités étatiques de revoir le catalogue et de remédier aux vulnérabilités afin de renforcer leur sécurité et leur résilience.

La nouvelle stratégie voit également l’agence s’éloigner de la correction des vulnérabilités basée sur la gravité vers celles qui présentent un risque important et sont maltraitées lors d’intrusions dans le monde réel, compte tenu du fait que les adversaires ne misent pas toujours nécessairement uniquement sur des faiblesses « critiques » pour atteindre leurs objectifs, avec certaines des attaques les plus répandues et les plus dévastatrices enchaînant de multiples vulnérabilités classées « élevées », « moyennes » ou même « faibles ».

« Cette directive fait deux choses. Premièrement, elle établit une liste convenue de vulnérabilités qui sont activement exploitées », a déclaré Tim Erlin, vice-président de la stratégie de Tripwire. « Deuxièmement, il fournit des dates d’échéance pour corriger ces vulnérabilités. En fournissant une liste commune de vulnérabilités à cibler pour la correction, CISA uniformise efficacement les règles du jeu pour les agences en termes de hiérarchisation. Il n’appartient plus à chaque agence de décider quelles vulnérabilités sont la plus haute priorité à corriger. »