BOD 26-04 – Mises à jour de sécurité selon le risque

Résumé

Directive opérationnelle contraignante émise par la CISA le 10 juin 2026 en vertu du FISMA, qui remplace et révoque la BOD 19-02 et la BOD 22-01. Elle impose aux agences civiles de la branche exécutive fédérale de corriger les vulnérabilités par ordre de risque au lieu de les traiter toutes de la même façon, en relevant que l'intelligence artificielle peut réduire le délai entre la publication d'un correctif et l'exploitation. L'urgence dépend de quatre variables : exposition publique de l'actif, présence dans le catalogue des vulnérabilités exploitées (KEV), possibilité d'automatiser l'attaque et impact technique (contrôle partiel ou total). Avec effet immédiat, les agences mettent à jour leurs procédures, corrigent les vulnérabilités du catalogue KEV dans les délais fixés par la CISA et en rendent compte via le tableau de bord CDM ; sous 60 jours elles étendent leurs processus à la base CVE et sous 180 jours appliquent les délais du tableau 1 et marquent leurs actifs accessibles depuis Internet. Les cas les plus graves doivent être corrigés sous trois jours, avec un tri forensique.

Informations

Juridiction

États-Unis

Organisme émetteur

Cybersecurity and Infrastructure Security Agency (CISA)

Type

Directive

Langues disponibles

anglais

Thèmes

• Administration numérique
• Sécurité des logiciels et des applications

Notes

Le même jour, la CISA a publié un guide de mise en œuvre (mis à jour le 25 août 2026) et un schéma de données normalisé pour le marquage des actifs. Le tableau 1, avec les délais de correction pour chaque combinaison des quatre variables, n'est publié que sous forme d'image ; le guide cite en exemple un délai de trois jours pour une vulnérabilité KEV automatisable, avec contrôle total, sur un actif exposé. Les délais courent à partir de l'ajout au catalogue KEV ou de la découverte de la vulnérabilité par l'agence, si elle est antérieure. Le catalogue KEV, créé en 2021 par la BOD 22-01, reste géré par la CISA, qui revoit le tableau une fois par exercice budgétaire.

Cybersecurity and Infrastructure Security Agency (CISA). (2026). BOD 26-04: Prioritizing Security Updates Based on Risk (BOD 26-04). https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk

Cybersecurity and Infrastructure Security Agency (CISA). "BOD 26-04: Prioritizing Security Updates Based on Risk." 10 June 2026. https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk.

@misc{us_bod_26_04_security_updates_risk_2026,
  author       = {{Cybersecurity and Infrastructure Security Agency (CISA)}},
  title        = {{BOD 26-04: Prioritizing Security Updates Based on Risk}},
  year         = {2026},
  note         = {BOD 26-04},
  url          = {https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk},
  urldate      = {2026-11-02}
}