文章总结： CISA发布强制性运营指令BOD26-02，要求美国联邦民事行政部门(FCEB)在18个月内移除所有已达生命周期(EOS)的网络边缘设备（包括路由器、防火墙、交换机等），因高级威胁行为者正大规模利用这些不再接收安全更新的设备进行网络入侵。指令规定：立即更新受支持设备上的EOS软件；3个月内完成设备清点；12个月内停用CISA清单中的EOS设备；18个月内完成所有EOS设备更换；24个月内建立持续发现流程。该指令旨在降低技术债务，减少联邦网络被nation-state攻击者利用的风险，同时CISA鼓励所有组织采纳类似措施。
综合评分： 82
文章分类： 政策法规,安全运营,漏洞预警,网络安全,安全建设
CISA要求联邦机构替换已达生命周期的网络边缘设备
Sergiu Gatlan
Sergiu Gatlan
代码卫士
2026年2月9日 18:31
北京
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
美国网络安全和基础设施安全局（CISA）发布了一项新的强制性运营指令，要求联邦机构找到并移除制造商不再提供安全更新的网络边缘设备。
CISA 同时警告称，已达生命周期的边缘设备（包括路由器、防火墙和网络交换机）导致联邦系统易受新发现漏洞利用攻击，并使其暴露于“巨大且不可承受的风险之中”。
CISA在上周四表示：“运行终止支持边缘设备的联邦信息系统所面临的利用威胁迫在眉睫且持续存在，对联邦资产构成了重大风险。CISA已察觉到有高级威胁攻击者正针对此类终止支持的边缘设备开展大规模漏洞利用活动。”
CISA发布声明称：“这些设备特别容易受到新发现 0day 漏洞的网络攻击。此外，它们不再获得原设备制造商的支持性更新，使联邦系统面临巨大且不可承受的风险。”
强制性运营指令26-02 (BOD 26-02) 要求美国政府机构在联邦网络中停用已终止支持的硬件和软件，以防止被高级威胁行动者利用。该指令要求立即对运行已终止支持软件且厂商已提供更新的受支持设备采取行动，并在三个月内完成对CISA终止支持列表中所有设备的清点工作。
联邦机构还需在12个月内停用指令发布日期前已达到终止支持的设备。在18个月内，所有已识别的终止支持边缘设备必须更换为能获得当前安全更新的厂商支持设备。BOD 26-02还要求各机构在24个月内建立持续发现流程，识别边缘设备，并维护即将达到终止支持状态的设备和软件清单。
虽然这些要求仅适用于美国联邦民事行政部门 (FCEB) 机构，但CISA鼓励所有网络防御者遵循相关情况说明书中的指导，保护系统、数据和运营安全，抵御当前攻击中针对网络边缘设备的威胁组织。
三年前，即2023年6月，CISA还发布了强制性操作指令23-02，要求联邦民事机构保护配置不当或暴露于互联网的管理接口（例如路由器、防火墙、代理和负载均衡器）的安全。此前数月，作为新的勒索软件漏洞预警试点计划的一部分，CISA宣布将警告关键基础设施组织机构是否拥有易受勒索软件攻击的网络设备。
开源卫士试用地址：https://oss.qianxin.com/#/login
代码卫士试用地址：https://sast.qianxin.com/#/login
推荐阅读
CISA KEV 清单共收录1048个已遭利用漏洞，2025年增长20%
CISA提醒注意 WHILL Model C2 电动轮椅中的严重漏洞
CISA 将已遭利用的 Digiever NVR RCE漏洞纳入KEV
React2Shell：30家机构已受陷77k IP地址易受影响，被列入 CISA KEV
原文链接
https://www.bleepingcomputer.com/news/security/cisa-orders-federal-agencies-to-replace-end-of-life-edge-devices/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 “赞” 吧~
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：代码卫士 Sergiu Gatlan
Sergiu Gatlan《CISA要求联邦机构替换已达生命周期的网络边缘设备》