CISA отменила единые сроки патчей для госагентств США

10 июня 2026 года американское агентство CISA выпустило директиву BOD 26-04, которая заменила действовавшие с 2021 года единые календарные сроки устранения уязвимостей для федеральных агентств. Вместо плоского дедлайна новая модель определяет срок по риску конкретного актива, учитывая публичность доступа, наличие уязвимости в каталоге KEV, возможность автоматизации эксплуатации и технический эффект атаки.

В критичных случаях уязвимость нужно устранить за три дня, в некритичных — при плановом обновлении. Директива создаёт сложность для AI-платформ, где одинаковый CVSS требует разных действий на разных слоях: от обычного патча в веб-API до замены компонента в инференс-движке.