La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA, por sus siglas en inglés) ha publicado un catálogo de vulnerabilidades, incluidas las de Apple, Cisco, Microsoft y Google, que se sabe que los ciberdelincuentes malintencionados explotan y explotan activamente, además de exigir a las autoridades federales que prioricen el uso de parches para estos fallos de seguridad en plazos «agresivos».

«Estas vulnerabilidades representan un riesgo significativo para las agencias y la empresa federal», dijo la agencia en una directiva operativa vinculante (BOD) emitida el miércoles. «Es necesario abordar agresivamente los exploits conocidos para proteger los sistemas de información federales y reducir los incidentes cibernéticos».

Cerca de 176 vulnerabilidades identificadas entre 2017 y 2020 y 100 vulnerabilidades de 2021 se agregaron a la lista inicial, que debe actualizarse con otras vulnerabilidades explotadas activamente tan pronto como se conozcan, siempre que se les hayan asignado vulnerabilidades y amenazas comunes (CVE). tener una acción correctiva clara.

La directiva vinculante exige que las vulnerabilidades de seguridad descubiertas en 2021, aquellas que fueron rastreadas como CVE-2021-XXXXX, se resuelvan antes del 17 de noviembre de 2021, con una fecha límite del 3 de mayo de 2022 establecida para las vulnerabilidades más antiguas restantes. , CISA alienta a las empresas privadas y entidades gubernamentales a revisar el catálogo y corregir vulnerabilidades para fortalecer su posición en seguridad y resiliencia.

La nueva estrategia también ve a la Agencia alejarse de abordar las vulnerabilidades basadas en la gravedad de aquellas que representan un riesgo significativo y se explotan al penetrar en el mundo real, dado que los oponentes no siempre tienen que depender únicamente de las debilidades «críticas» para lograr su objetivo. , con algunos de los ataques más extendidos y destructivos que encadenan numerosas vulnerabilidades calificadas como «altas», «medias» o incluso «bajas».

«Esta directiva hace dos cosas. Primero, establece una lista acordada de vulnerabilidades que se explotan activamente», dijo Tim Erlin, vicepresidente de estrategia de Tripwire. «En segundo lugar, proporciona plazos para abordar estas vulnerabilidades. Al proporcionar una lista común de vulnerabilidades para abordar, CISA equilibra efectivamente las condiciones para que las agencias prioricen. Ya no depende de cada agencia individual decidir qué vulnerabilidades tener. la prioridad más alta Para reparar. «