Reddit

CISA is Sunsetting the Weekly Vulnerability Bulletin

CISA, 주간 취약점 공지(Weekly Vulnerability Bulletin) 폐지 발표 — 심각도 기반에서 위험 기반 취약점 관리로 전환

미국 사이버보안·인프라보안청(CISA)이 2026 회계연도 말인 2026년 9월 28일부로 주간 취약점 공지(Weekly Vulnerability Bulletin)를 중단한다고 발표했습니다. 심각도(severity) 기반 취약점 관리에서 위험(risk) 기반 우선순위 지정으로의 전환이라는 큰 흐름의 일환이며, 앞으로는 KEV Catalog와 CISA Alerts, 벤더 보안 공지를 참조하라고 안내했습니다.

본문

미국 CISA가 오랫동안 운영해 온 주간 취약점 공지(Weekly Vulnerability Bulletin)의 발행을 종료한다고 공식 페이지를 통해 밝혔습니다. 종료 시점은 2026 회계연도(FY26)가 끝나는 2026년 9월 28일입니다. 이번 조치는 단순한 뉴스레터 중단이 아니라, CISA가 공식적으로 '심각도 기반 취약점 관리(severity-based vulnerability management)'에서 '위험 기반 취약점 우선순위 지정(risk-based vulnerability prioritization)'으로 방향을 바꾸는 흐름의 일환으로 설명되고 있습니다.

무엇이 바뀌는가

Weekly Vulnerability Bulletin은 그동안 매주 새로 기록된 취약점들을 모아 정기적으로 제공해 온 채널이었습니다. CVSS 같은 심각도 점수를 중심으로 '새로 나온 CVE 목록'을 훑는 방식의 정보 소비에 최적화되어 있었고, 보안 담당자들이 주간 단위로 신규 취약점을 파악하는 데 쓰였습니다. CISA는 이 채널을 폐지하는 대신, 새로 기록된 취약점 자체는 계속 CVE.org에서 확인할 수 있다고 안내했습니다. 즉 데이터 소스가 사라지는 것이 아니라, CISA가 직접 큐레이션해 주간 단위로 묶어 배포하던 관행이 사라지는 것입니다.

대안으로 제시된 채널들

CISA는 이용자들이 앞으로 다음 채널들을 통해 '실행 가능한(actionable), 위험 기반의' 업데이트를 받아야 한다고 밝혔습니다. 첫째, 실제로 악용이 확인된 취약점만 모아둔 Known Exploited Vulnerability(KEV) Catalog입니다. 둘째, CISA Cybersecurity Alerts and Advisories입니다. 셋째, 각 벤더가 직접 발행하는 보안 공지(vendor security alerts)입니다. 또한 CISA의 Subscribe to Updates 페이지에서 이메일 등으로 최신 소식 자동 수신을 신청할 수 있다고 덧붙였습니다.

왜 이런 전환을 하는가

공지문은 '더 넓은 전환(broader shift)'이라는 표현으로 맥락을 설명합니다. 심각도 점수가 높다고 해서 반드시 현실의 위협이 큰 것은 아니고, 반대로 실제 공격에 쓰이는 취약점은 KEV에 집중되어 있다는 문제의식이 깔려 있습니다. 커뮤니티에서는 AI를 통한 취약점 발굴로 CVE 발행량이 폭증하면서, '모든 신규 CVE를 주간 단위로 훑는' 방식이 물리적으로 지속 불가능해졌다는 해석이 나옵니다. 이미 많은 기업이 패치 우선순위를 KEV 중심으로 운영하고 있어, 주간 공지의 실효성 자체가 낮아졌다는 지적도 있습니다.

한국 개발자·보안 담당자에게 의미하는 바

CISA 주간 공지를 RSS나 메일로 구독해 신규 취약점을 모니터링하던 조직이라면, 2026년 9월 이전에 워크플로우를 바꿔야 합니다. 실무적으로는 KEV Catalog API/피드를 구독하고, 자사가 사용하는 벤더의 보안 권고 채널을 정리해 두는 것이 핵심입니다. 신규 CVE 전체 목록이 필요하면 CVE.org를 직접 참조하면 되지만, '심각도 상위 N개'식의 양적 모니터링보다 '실제 악용 여부'를 기준으로 삼는 위험 기반 접근이 미국 정부 차원에서 공식화되고 있다는 점이 이번 소식의 본질입니다.

Reddit 반응

  • @u/WrangleWandangles — 캐나다 사이버센터(Canadian Centre for Cyber Security)가 취약점과 경보를 게시하고 있습니다. 완전한 대체재는 아니라고 생각하고, 그쪽 콘텐츠 일부도 어차피 CISA에 의존했을 것 같지만, 좋은 자료가 있고 지금은 예산도 더 받는 것 같습니다. CISA 리포팅으로 동향을 파악하던 분들에게는 참고할 만합니다. https://www.cyber.gc.ca/en/alerts-advisories
  • @u/ConcertDependent8452 — KEV는 이미 많은 기업에서 주된 기준(driver)이었고, 이 주간 공지를 실제로 어딘가에서 인제스트해서 쓰고 있었는지도 잘 모르겠습니다.
  • @u/5panks — AI로 쏟아져 나오는 CVE의 홍수를 생각하면 예정된 수순이었다고 봅니다. 이 시점에서는 정말 KEV에 집중하고 나머지는 최선의 노력(best effort)으로 대응할 수밖에 없습니다.

원문: CISA / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗