Salah satu kesulitan paling nyata bagi pengelola sistem di instansi pemerintah adalah jumlah kerentanan yang jauh melampaui kapasitas untuk menambalnya. Pemindai kerentanan kerap melaporkan ratusan hingga ribuan temuan, sementara tim yang tersedia hanya beberapa orang.

Menanggapi persoalan itu, CISA menetapkan Binding Operational Directive BOD 26-04 — Prioritizing Security Updates Based on Risk. Arahan ini mengikat lembaga federal Amerika Serikat, namun CISA secara terbuka menganjurkan seluruh organisasi mengadopsi pendekatannya.

Pergeseran cara berpikir

Pendekatan lama memprioritaskan kerentanan berdasarkan skor CVSS: yang tertinggi ditambal lebih dahulu. Masalahnya, skor CVSS mengukur keparahan seandainya dieksploitasi, bukan kemungkinan ia benar-benar dieksploitasi.

Akibatnya sumber daya terkuras untuk kerentanan berskor tinggi yang tidak pernah dipakai penyerang, sementara celah berskor sedang yang justru sedang aktif dieksploitasi tertunda penanganannya.

Contohnya ada pada advisory yang terbit bersama artikel ini: CVE-2026-60137 pada WordPress hanya berskor 5.9 (Medium). Bila diurutkan berdasarkan skor, ia akan berada jauh di bawah antrean. Namun karena dapat dirantai dengan CVE-2026-63030 menjadi eksekusi kode jarak jauh, CISA memasukkannya ke katalog kerentanan yang terbukti dieksploitasi.

Katalog KEV sebagai penyaring praktis

Katalog Known Exploited Vulnerabilities (KEV) memuat kerentanan yang terbukti dieksploitasi di dunia nyata. Dari lebih dari seribu enam ratus entri, hanya sebagian kecil yang relevan bagi satu organisasi tertentu — dan justru itulah yang harus didahulukan.

Bagi Perangkat Daerah, penyaringan ini sangat membantu: alih-alih menghadapi ribuan temuan pemindai, daftar pekerjaan menyusut menjadi kerentanan yang benar-benar dipakai penyerang dan benar-benar ada pada aset yang dimiliki.

Cara menerapkannya di lingkungan Perangkat Daerah

1. Susun inventaris aset elektronik. Tanpa mengetahui apa yang dimiliki, penentuan prioritas mustahil dilakukan. Ini langkah pertama yang tidak dapat dilewati.
2. Cocokkan inventaris dengan katalog KEV secara berkala, bukan hanya saat ada pemberitaan.
3. Dahulukan aset yang menghadap internet. Sistem yang dapat dijangkau publik memiliki peluang diserang jauh lebih besar.
4. Tetapkan tenggat internal untuk setiap tingkat prioritas, dan catat pengecualian beserta alasannya.
5. Verifikasi setelah menambal. Tambalan yang terpasang belum tentu aktif — contohnya paket kernel baru yang belum berlaku sampai sistem dimuat ulang.

KUTIM-CSIRT menerbitkan advisory kerentanan secara berkala dengan penyaringan serupa: yang ditampilkan adalah kerentanan yang relevan bagi teknologi yang lazim dipakai Perangkat Daerah dan telah terbukti dieksploitasi.

Sumber

• CISA Known Exploited Vulnerabilities Catalog
• CISA – Binding Operational Directives

KUTIM-CSIRT menerbitkan ringkasan perkembangan ancaman siber sebagai bahan kewaspadaan bagi Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur. Laporan insiden dapat disampaikan melalui halaman Lapor Insiden.