CISA stellt wöchentliche Schwachstellenübersicht ein

(Source: Drizzlinstarsstudio / Adobestock)

(Source: Drizzlinstarsstudio / Adobestock)

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) stellt ihre wöchentliche Schwachstellenübersicht per 28. September ein. Dies teilt die Behörde auf ihrer Website mit. Die Änderung betrifft sowohl Abonnenten des Dienstes als auch Sicherheitsteams, Betreiber kritischer Infrastrukturen und weitere Akteure, die sich auf die wöchentlichen, auf CVSS-Scores (Common Vulnerability Scoring System) basierenden Zusammenfassungen stützten. 

Neu erfasste Schwachstellen blieben weiterhin auf CVE.org verfügbar. Für konkrete, risikobasierte Informationen verweist die CISA künftig auf ihren Katalog der Known Exploited Vulnerabilities (KEV), ihre Cybersecurity-Warnungen und -Hinweise sowie auf Sicherheitshinweise der jeweiligen Hersteller. Abonnenten der bisherigen wöchentlichen Übersicht könnten ihre Einstellungen bei "GovDelivery" beziehungsweise Granicus anpassen, um weiterhin Benachrichtigungen zum KEV-Katalog und zu Cybersecurity-Hinweisen zu erhalten.

Vom Schweregrad zum tatsächlichen Risiko

Auf Anfrage der Redaktion erklärt Jérémy Voisin, Direktor und CISO von Cheops Cyberdéfense, dass dieser Strategiewechsel den Grenzen einer ausschliesslich auf dem CVSS basierenden Priorisierung Rechnung trage. "Sich ausschliesslich auf das CVSS zu verlassen, ist 2026 nicht mehr praktikabel", sagt er. Neben der Ausnutzbarkeit einer Schwachstelle und ihren potenziellen Auswirkungen müssten auch die Kritikalität und die geschäftliche Bedeutung des betroffenen Assets berücksichtigt werden. "Ohne die Kritikalität des Assets und seine geschäftliche Rolle priorisiert man im luftleeren Raum."

Voisin vergleicht diese Logik mit dem CTEM-Ansatz (Continuous Threat Exposure Management), der die Analyse über reine CVE-Schwachstellen hinaus erweitert. Dabei würden unter anderem Fehlkonfigurationen, Identitäten, geleakte Geheimnisse und Schatten-IT berücksichtigt, um die tatsächliche Gefährdung eines Unternehmens umfassender zu beurteilen.

Das Ende des Bulletins der CISA dürfte allerdings nicht für alle Teams die gleichen Folgen haben. Voisin zufolge nutzte seine Organisation die Schwachstellenübersicht ohnehin nicht und aggregierte stattdessen direkt die Veröffentlichungen von Herstellern und verschiedenen CERTs. Für kleinere Organisationen ohne eigenes Sicherheitsteam und ohne Zugang zu Threat-Intelligence-Feeds hätte die Übersicht hingegen eine kostenlose, sofort nutzbare wöchentliche Zusammenfassung dargestellt. Deren Einstellung führt laut Voisin zu "echten Problemen".

Angesichts der wachsenden Zahl an Informationsquellen komme es darauf an, so der Experte, über "einen zentralen Aggregationspunkt am Eingang und eine kontextbezogene Priorisierungslogik am Ausgang" zu verfügen. Informationen könnten so gefiltert und Duplikate entfernt werden, bevor sie weiterverarbeitet werden.

Für Schweizer Unternehmen ist die Entwicklung gemäss Voisin vor allem eine Erinnerung daran, sich bei der Beobachtung von Schwachstellen nicht von einer einzigen Quelle abhängig zu machen. Er empfiehlt, Sicherheitshinweise der Hersteller, branchenspezifische CERTs, Informationen des Bundesamts für Cybersicherheit (BACS) sowie europäische und amerikanische Quellen miteinander abzugleichen. Gleichzeitig sollten Unternehmen intern die Fähigkeit aufbauen, Schwachstellen risikobasiert zu priorisieren, anstatt sich auf einen einzelnen Score oder einen externen Katalog zu verlassen.

Die CISA hat im Juli 2026 übrigens ihre Warnung vor Angriffen auf lokal betriebene Microsoft-Sharepoint-Server verschärft. Lesen Sie hier mehr dazu. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.