De Binding Operational Directive (BOD) 26-04 van CISA brengt een belangrijke verandering in het federale kwetsbaarhedenbeheer door patchen te prioriteren op basis van risico. In plaats van alle kritieke kwetsbaarheden binnen dezelfde termijn te dichten, varieert de deadline nu van drie dagen voor de hoogste risico's tot uitstel voor kwetsbaarheden met minimale impact. Dit is een belangrijke stap vooruit, maar vormt slechts het begin van een noodzakelijke aanpassing.

Beveiligingsteams weten al langer dat de ernst van een kwetsbaarheid niet alles zegt over het daadwerkelijke risico. Een CVSS-score geeft bijvoorbeeld weinig inzicht in de bereikbaarheid vanaf het internet, actieve exploitatie, automatisering of de mate van controle die een aanvaller krijgt. De BOD 26-04 erkent deze context door organisaties te instrueren zich eerst te richten op de kwetsbaarheden die het meest waarschijnlijk worden misbruikt.

De opkomst van AI versnelt echter elke fase van de aanvalscyclus en verandert het dreigingslandschap sneller dan traditionele kwetsbaarhedenbeheerpraktijken kunnen bijbenen. Volgens CrowdStrike is de gemiddelde tijd van initiële laterale beweging na een cyberinbraak gedaald tot slechts 29 minuten, met de snelste waargenomen beweging in 27 seconden. Daarnaast blijkt uit onderzoek van Mandiant dat toegang tussen aanvallers binnen een mediane tijd van 22 seconden wordt overgedragen.

AI zelf vormt ook een groeiend aanvalsoppervlak. Organisaties implementeren snel AI-gestuurde copilots, browseragents, autonome workflows en andere systemen die nieuwe kwetsbaarheden introduceren via prompts, plugins, connectors en integraties die beveiligd moeten worden. Tegen deze achtergrond lijkt de drie dagen durende hersteltermijn voor de risicovolste kwetsbaarheden eerder een luxe dan een agressief doel.

Moderne aanvallers benutten niet alleen CVE's, maar combineren kwetsbaarheden met gestolen identiteiten, cloudconfiguratiefouten, blootgestelde API's, zwakheden in SaaS en steeds vaker AI-systemen om aanvalspaden naar kritieke assets te creëren. De BOD 26-04 is een stap vooruit, maar AI vereist dat verdedigers niet alleen bestaande processen versnellen, maar deze ook fundamenteel herzien.

AI heeft het tempo en de kosten van cyberaanvallen veranderd door automatisering van taken die voorheen teams van mensen vereisten. Taken zoals verkenning, kwetsbaarhedenonderzoek, exploitgeneratie, phishing, credential harvesting en delen van laterale beweging kunnen nu grotendeels door AI worden uitgevoerd. Recente studies tonen aan dat autonome agenten veel operationeel werk in geavanceerde campagnes uitvoeren, terwijl mensen toezicht houden op de algemene doelen.

Hierdoor worden campagnes eenvoudiger en goedkoper op te schalen, kunnen meer doelwitten tegelijk worden aangevallen en kunnen aanvallers veel meer aanvalspaden testen voordat verdedigers doorhebben dat ze worden onderzocht. Waar kwetsbaarhedenbeheer jarenlang uitging van weken of maanden om problemen te identificeren en te verhelpen, is die aanname achterhaald. Aanvallers bewegen zich vaak binnen een uur van initiële toegang naar laterale beweging, en kwetsbaarheden worden steeds sneller na publicatie misbruikt, soms zelfs voordat verdedigers ze hebben kunnen evalueren, zoals blijkt uit recent onderzoek.

Daarom is de verschuiving naar risicogebaseerde herstelmaatregelen van CISA van groot belang. Door prioriteit te geven aan kwetsbaarheden op basis van exploitatiekans en operationeel risico, krijgen verdedigers een betere kans om de meest kritieke problemen aan te pakken. Tegelijkertijd vormen kwetsbaarheden slechts een deel van het huidige dreigingslandschap, dat steeds meer wordt bepaald door complexe aanvalspaden in plaats van losse bevindingen.