積極的に悪用されている2つのFortiSandbox脆弱性に対して、短縮されたスケジュールでパッチ適用を求める連邦政府の指令は、不都合な真実を浮き彫りにしている。企業が脅威検知のために導入しているアプライアンスが、脅威にとって最も好ましい入口となっているのだ。

エッジセキュリティ製品、VPNコンセントレーター、サンドボックス分析装置は、ネットワーク境界において最大限の特権を持つが、顧客が容易に検査したり計測したりできない不透明なファームウェアを実行している。Fortinetは、最近のサイクルにおいて米国の強制修復命令に繰り返し登場しており、Ivanti、Citrix、Ciscoとともに、調達戦略の見直しを促すべきパターンを形成している。単一ベンダーのエッジデバイスが、悪用された脆弱性カタログにおいて繰り返し項目として現れる場合、それはもはや不運ではない。ベンダーのセキュア開発の成熟度と、全フリートを単一プラットフォームに標準化することによる集中リスクに関する構造的シグナルである。

戦略的エクスポージャーは政府機関だけでなくグローバルである。連邦政府のパッチ義務は米国の民間機関のみを対象としているが、同じデバイスがドイツの病院、シンガポールの銀行、ブラジルの製造業者を守っており、これらの組織は期限の下で運用されていない。国家支援型およびランサムウェア集団は、開示から展開までのギャップを武器化し、数日でパッチをリバースエンジニアリングする。ここでの悪用状態は、早期の被害者にとってウィンドウがすでに閉じており、他のすべての人にとっても急速に狭まっていることを意味する。

CISOにとって、今重要な3つのアクションがある。第一に、セキュリティアプライアンスのパッチ適用を、一般的なIT保守とは別の独立した迅速トラックとして扱い、悪用された欠陥に対するSLAを時間単位で測定する。第二に、更新時に境界ベンダーからSBOMと独立した侵入テスト結果を要求し、繰り返されるCVE履歴を契約交渉の価格に織り込む。第三に、侵害を前提とする。管理インターフェースをパブリックインターネットからセグメント化し、管理者アクセスにフィッシング耐性のあるMFAを適用し、パッチだけで攻撃者を排除できると信じるのではなく、侵害後の持続性をハンティングする。

投資家にとって、持続可能なテーゼは単一のインシデントではなく、検証可能な透明性、メモリセーフなファームウェア、迅速な協調開示を提供するベンダーへのシフトである。アタックサーフェス管理および継続的エクスポージャープラットフォームは、これらのエピソードすべてから恩恵を受ける。境界アプライアンスカテゴリーは消滅しないが、価格決定力は、自社のボックスが悪用された脆弱性台帳の次のエントリにならないことを証明できる者へと移行している。