Il NIST ha annunciato un cambio di rotta importante nella gestione delle vulnerabilita informatiche nel National Vulnerability Database (NVD), il database di riferimento per molte organizzazioni che tracciano le CVE. A partire dal 15 aprile 2026, il NIST non arricchira piu automaticamente tutte le CVE con dati aggiuntivi come contesto tecnico, metriche e informazioni utili alla prioritizzazione.
La decisione nasce da un aumento enorme delle segnalazioni: tra il 2020 e il 2025 le sottomissioni di CVE sono cresciute del 263 percento e il trend continua a salire.
Il nuovo modello e basato su priorita e criteri di impatto. Le CVE che non rientrano nelle categorie definite resteranno visibili nell NVD, ma saranno etichettate come Not Scheduled e non riceveranno enrichment automatico. In pratica, molte vulnerabilita potrebbero non avere subito dettagli completi o punteggi aggiornati, con conseguenze per chi usa l NVD come fonte principale per vulnerability management e risk management.
Quali CVE continueranno a essere arricchite
Le CVE che continueranno a essere arricchite dal NIST sono quelle con maggiore rischio sistemico. Rientrano in questa lista:
- Vulnerabilita presenti nel catalogo CISA Known Exploited Vulnerabilities (KEV)
- Vulnerabilita che riguardano software usato all interno del governo federale
- Vulnerabilita legate al critical software definito dall Executive Order 14028
In questo contesto, critical software include componenti che operano con privilegi elevati, controllano accesso a dati o risorse, gestiscono tecnologia operativa o agiscono fuori dai normali confini di fiducia.
Modifiche operative annunciate dal NIST
Il NIST ha anche comunicato modifiche operative aggiuntive:
- Niente punteggio di severita separato: non verra piu fornito un punteggio di severita separato quando la CVE Numbering Authority ha gia assegnato un punteggio.
- Rianalisi solo in caso di impatto materiale: una CVE modificata verra rianalizzata solo se il cambiamento impatta in modo materiale i dati di enrichment.
- Gestione del backlog: le vulnerabilita non arricchite in backlog con data di pubblicazione precedente al primo marzo 2026 verranno spostate in Not Scheduled, tranne quelle gia presenti nel KEV.
Come richiedere l enrichment e impatti per le aziende
Per le CVE ad alto impatto finite tra le non programmate, e possibile richiedere l enrichment tramite email al canale ufficiale NVD. Questa evoluzione spinge le aziende a integrare threat intelligence, metriche di sfruttabilita e liste come CISA KEV per decidere cosa correggere prima, riducendo il rumore del volume totale di CVE.