L’Agence américaine de cybersécurité et de sécurité des infrastructures a publié un catalogue de vulnérabilités, notamment celles d’Apple, de Cisco, de Microsoft et de Google, dont les exploits sont connus et qui sont activement exploitées par des cyberacteurs malveillants. Elle a également demandé aux agences fédérales d’appliquer en priorité les correctifs pour ces failles de sécurité dans des délais « agressifs ».
« Ces vulnérabilités représentent un risque important pour les agences et l’entreprise fédérale », a déclaré l’agence dans une directive opérationnelle contraignante publiée mercredi.
« Il est essentiel de remédier énergiquement aux vulnérabilités exploitées connues pour protéger les systèmes d’information fédéraux et réduire les cyberincidents. »
Environ 176 vulnérabilités identifiées entre 2017 et 2020, et 100 failles à partir de 2021 ont fait leur entrée dans la liste initiale, qui devrait être mise à jour avec d’autres vulnérabilités activement exploitées au fur et à mesure qu’elles seront connues, à condition qu’on leur ait attribué des identifiants de vulnérabilités et d’expositions communes et qu’elles soient assorties de mesures correctives claires.
Bien que le BOD soit principalement destiné aux agences civiles fédérales, la CISA recommande aux entreprises privées et aux entités étatiques d’examiner le catalogue et de remédier aux vulnérabilités afin de renforcer leur posture de sécurité et de résilience.
« Deuxièmement, elle prévoit des dates limites pour remédier à ces vulnérabilités. En fournissant une liste commune de vulnérabilités à corriger, la CISA met effectivement les agences sur un pied d’égalité en termes de priorisation. Ce n’est plus à chaque agence de décider quelles vulnérabilités sont les plus prioritaires à corriger. »
