CISA (Cybersecurity and Infrastructure Security Agency) AS baru saja menerbitkan Binding Operational Directive (BOD) 26-04. Isinya tegas: semua agency federal wajib patch vulnerability yang sudah masuk daftar Known Exploited Vulnerabilities (KEV) dalam 3 hari kerja, bukan 2 minggu seperti sebelumnya.
Menurut pejabat CISA, ini bukan sekadar perubahan teknis. Ini pergeseran budaya: tim keamanan harus fokus ke kerentanan yang sedang dieksploitasi aktif, bukan sekadar memprioritaskan skor CVSS tertinggi. Waktu patch yang lebih pendek memberi ruang lebih banyak untuk membangun ketahanan terhadap serangan yang ditargetkan.
Sementara itu, akhir September lalu CISA juga merilis alert kritis: zero-day Citrix NetScaler ADC & Gateway sedang dieksploitasi aktif. Karena update NetScaler di lingkungan produksi bisa rumit dan memerlukan downtime, CISA mendorong organisasi untuk segera mengaudit eksposur dan memitigasi.
Di bulan yang sama, CISA menambahkan tiga flaw dari Cisco, Citrix, dan Fortinet ke katalog KEV, dengan deadline patch 12 September 2026.
Pelajaran praktis untuk kita:
- Pantau KEV CISA — kalau produk yang kamu pakai masuk daftar, itu berarti hacker sudah punya weaponized exploit. Jangan tunggu patch Tuesday.
- Patch kritis = prioritas 1 — vulnerability yang sedang dieksploitasi aktif di lapangan, bukan yang sekadar “kritikal di skor”.
- Jaga window patch realistik — kalau infrastrukturnya complex (misal NetScaler gateway di core network), siapkan maintenance window dan rollback plan sebelum ada alert.
Tren 3 hari patch di tingkat federal kemungkinan akan menular ke regulasi lain. Tim IT yang sudah punya proses patch otomatis dan monitoring KEV akan jauh lebih siap.