Risk-Based Patching: Warum der CVSS-Wert allein in die Irre führt

Cisa hat CVSS als Maßstab für Patchfristen abgeschafft. Vier Fragen entscheiden jetzt. Worauf es dabei ankommt.

20. September 2026 um 10:00 Uhr / Ein Ratgebertext von Steffen Zahn

Die neue Direktive stellt zu jeder Lücke vier Fragen, die sich nur mit Ja oder Nein beantworten lassen. Bild: cookieone/Pixabay

Die US-Cybersicherheitsbehörde Cisa hat am 11. September 2026 vier Schwachstellen in ihren Katalog der bekannt ausgenutzten Lücken aufgenommen. Zwei davon steckten in Connectwise Screenconnect und Gitlab, sie mussten binnen drei Tagen behoben sein. Die beiden anderen betrafen Jfrog Artifactory und bekamen 14 Tage Zeit. Alle vier wurden zu diesem Zeitpunkt aktiv angegriffen. Der Unterschied in der Frist hat mit dem Schweregrad nichts zu tun.

In der US-Bundesverwaltung gilt seit dem 10. Juni 2026 ein anderes Modell. Die Binding Operational Directive 26-04 sortiert jede Schwachstelle über vier Fragen in eine von fünf Fristen ein. Der CVSS-Wert kommt in dieser Rechnung nicht vor. Wir zeigen, wie die vier Fragen funktionieren, was sie in der Praxis bereits verschoben haben und wie kleine Teams das Modell ohne großes Schwachstellenmanagement übernehmen können.