Resumo
A CISA anunciou a aposentadoria simultânea de dez Emergency Directives emitidas entre 2019 e 2024, afirmando que as medidas exigidas foram implementadas ou estão agora cobertas por programas contínuos como o catálogo Known Exploited Vulnerabilities (KEV) e Binding Operational Directives.
O que foi encerrado
Em 8 de janeiro de 2026 a CISA informou ter fechado dez directives que trataram de respostas urgentes a ameaças elevadas. Entre os documentos encerrados estão ordens relacionadas a:
- Manipulação de infraestrutura DNS (ED 19‑01)
- Vulnerabilidades críticas do Windows e Netlogon de 2020 (ED 20‑02, ED 20‑03, ED 20‑04)
- Compromisso de código do SolarWinds (ED 21‑01)
- Vulnerabilidades no Microsoft Exchange on‑premises (ED 21‑02)
- Ameaças ao Pulse Connect Secure (ED 21‑03)
- Vulnerabilidade do Print Spooler (ED 21‑04)
- Vulnerabilidades VMware (ED 22‑03)
- Risco por comprometimento de e‑mail corporativo por ator estatal (ED 24‑02)
Razões e contexto
A CISA afirma que sete das directives foram aposentadas porque as falhas que motivaram as ordens passaram a ser monitoradas e tratadas no catálogo KEV. Outras foram fechadas após a agência considerar que os objetivos operacionais haviam sido alcançados e que proteções contínuas e normativas (por exemplo, BOD 22‑01) cobrem os controles exigidos.
Segundo a Acting Director Madhu Gottumukkala, a ação demonstra progresso em colaboração federal: "Every day, CISA’s team works with partners to eliminate persistent access, counter threats, and deliver real-time guidance."
Implicações para órgãos e empresas
O encerramento não significa que as vulnerabilidades deixem de ser relevantes — muitas permanecem no catálogo KEV e exigem atenção contínua. Para equipes de segurança e compliance, a mudança indica que certas obrigações agora transitam de ordens emergenciais para regimes permanentes de governança e inventário de vulnerabilidades.
Recomendações operacionais
- Organizações que ainda não aplicaram correções indexadas no KEV devem priorizá‑las conforme o risco operacional.
- Rever controles que anteriormente eram implementados exclusivamente para cumprir Emergency Directives, garantindo que políticas e processos internos reflitam a transição para monitoramento contínuo.
- Manter inventário de ativos e processos de validação de remediação centralizados para provar conformidade em auditorias e respostas a incidentes.
Observações finais
A aposentadoria simultânea de dez directives é um marco administrativo que reflete tanto maturidade em práticas federais quanto a transferência de certas respostas de emergência para programas contínuos. Não houve, nas fontes consultadas, indicação de que a CISA deixou de monitorar riscos: a agência se coloca pronta a emitir novas Emergency Directives quando ameaças exigirem ações imediatas.