NVD-tilbagetrækningen bør føre til en robust tilgang til sårbarhedsstyring

By Danny Bradbury • 25. juni 2026 • 6 minutters læsning

Den 15. april 2026 offentliggjorde National Institute of Standards and Technology (NIST) formelt forladte sin mangeårige mission om at berige al information om sårbarheder, der offentliggøres i dens database.

NIST driver den nationale sårbarhedsdatabase (NVD), som indeholder oplysninger om almindelige sårbarheder og eksponeringer (CVE'er). Hver CVE repræsenterer en software- eller hardwaresårbarhed.

CVE'er indeholder ikke mange oplysninger i sig selv, og det er her, NIST kom ind i billedet. De tildelte hver af dem en Common Vulnerability Scoring System (CVSS) score, der angiver, hvor alvorlig den er. De tildelte også Common Platform Enumeration (CPE) identifikatorer, som er en standardmetode til at forbinde sårbarheder med specifikke teknologiske produkter.

NIST har flittigt beriget CVE'er siden NVD's start i 1999, men det har lige ændret sig. Under den omstrukturerede politik er fuld berigelse begrænset til CVE'er i tre prioritetskategorier: CISA's katalog over kendte udnyttede sårbarheder (KEV), software brugt af amerikanske føderale myndigheder og kritisk software i henhold til Executive Order 14028. Alt andet er betegnet som "Laveste prioritet".

En stigende bølge af sårbarheder

NIST's omstrukturering er en indrømmelse af overvældelse. Virksomheden har kæmpet med mere arbejde, efterhånden som antallet af CVE'er er eksploderet. Indsendelser til NVD steg med 263 % mellem 2020 og 2025, sagde den og tilføjede, at første kvartal af 2026 var næsten en tredjedel højere end samme periode året før. Sidste år berigede den omkring 42,000 sårbarheder (45 % mere end noget tidligere år).

Agenturet har ikke kunnet følge med den stigende arbejdsbyrde. Sidste år blev deres efterslæb mere end fordoblet. Meddelelsen fra april betød, at det blev håndteret ved at erklære en form for CVE-konkurs, hvor tusindvis af efterslæbte dokumenter, der blev offentliggjort før 1. marts 2026, blev flyttet til kategorien "Ikke planlagt", som det måske eller måske ikke tager sig af i fremtiden.

NVD-berigelsen havde heller ikke levet op til kvalitetsforventningerne. En generalinspektør fra handelsministeriet gennemgå fandt, at NISTs alvorlighedsscorer kun matchede de uafhængige vurderingsmænds i 12 % af tilfældene, mens næsten 80 % af indsendelserne allerede var ankommet med scorer fra den rapporterende part.

Den voksende sårbarhedskløft

Dette er en stor ting for sårbarhedsstyringsteams. Uden CPE-data kan sårbarhedsscannere, der udelukkende er afhængige af NVD-afledt berigelse, ikke matche en CVE med et produkt. NIST erkendte, at de nye kriterier "muligvis ikke fanger alle potentielt CVE'er med stor indflydelse".

Alt dette sker på et tidspunkt, hvor udnyttelse af sårbarheder bliver endnu mere betydningsfuld. Det har overgået stjålne legitimationsoplysninger som den førende brudsvektor på tværs af mere end 31,000 gennemgåede hændelser. efter Verizons rapport om undersøgelser af databrud.

Det bliver også mere automatiseret. CrowdStrikes Årlig trusselsrapport 2026 konkluderede, at AI-aktiverede modstandere øgede angreb med 89 % år-til-år i 2025, hvor ubudne gæster anvendte generativ AI på tværs af "målretning, initial adgang og udvikling af malware og andre værktøjer".

Og hastigheden af rapportering af sårbarheder ser ud til at stige endnu mere dramatisk. Tænk på Mythos, den antropiske AI-model, der allerede har afdækket sårbarheder i massevis og vil sandsynligvis blive efterfulgt af andre konkurrerende modeller.

Alligevel står organisationerne stille. Hastigheden af modforanstaltninger halter bagefter udviklingen af automatiserede angreb: 77% af store virksomheder kræver stadig mere end en uge at implementere en kritisk patch, siger Cloud Security Alliance. Det er ikke underligt, at de også fandt anslået 38% til 45% af kritiske sårbarheder, der ikke er blevet opdateret i branchen på et givet tidspunkt.

Fra ad hoc-håndtering til modstandsdygtighed over for sårbarheder

Tilgange til sårbarhedsstyring skal tilpasses, hvis vi skal imødegå disse udfordringer. Virksomheder skal begynde at se på sårbarhedsstyring som en del af et bredere initiativ til modstandsdygtighed. Det bør omfatte at se på udnyttelsesevne fra et mere holistisk perspektiv.

Foranstaltningerne her omfatter prioritering af synlighed over, hvad der sker i teknologistakken fra ende til anden, for at få en fornemmelse af ikke blot, hvad der kan udnyttes i din infrastruktur, men også hvordan dens eksplosionsradius og organisatoriske påvirkning ser ud.

Det betyder også at bevæge sig væk fra CVSS-centreret sårbarhedsstyring. Det har aldrig været en god idé, fordi en enkelt score ikke tilstrækkeligt kan vurdere den organisatoriske risiko ved en sårbarhed.

A studere En undersøgelse foretaget af Kagawa University i Japan viste, at tilgange udelukkende baseret på CVSS med en alvorlighedsgrænse på 7.0 kun opnår effektivitetsrater på 0.2 % til 0.5 %. Det betyder, at denne snævre virksomhedssorteringsmetode adresserer en lille del af de sårbarheder, der rent faktisk kan udnyttes.

Til sammenligning viste undersøgelsen, at integrerede frameworks klarer sig bedre. Exploit Prediction Scoring System (EPSS), der er udviklet af Forum of Incident Response and Security Teams (FIRST), er en maskinlæringsmodel, der tildeler sårbarheder en score, der angiver, hvor sandsynligt det er, at de vil blive udnyttet i den virkelige verden inden for de næste 30 dage.

Kombinationen af CVSS, EPSS og data fra CISA's KEV-liste reducerer arbejdsbyrden for hasteprioritering med cirka 95 %, fra cirka 16,000 til 850 sårbarheder, samtidig med at dækningen på 85.6 % opretholdes ifølge Kagawa-undersøgelsen.

NIST har allerede udvidet sin dækning ud over CVSS. I juni opdaterede de NVD til at inkludere interessentspecifikke sårbarhedskategoriseringsdata (SSVC) fra CISA. Dette er en beslutningsramme til prioritering af sårbarhedsafhjælpning, udviklet af Carnegie Mellons Software Engineering Institute (CERT/CC) sammen med CISA. CISA leverer dette som en del af Vulnrichment-programmet, deres eget forsøg på at berige CVE-information. Så NVC har bevæget sig fra en mere overfladisk, bredere model til en snævrere, rigere model, der har et mere holistisk syn på udnyttelsesmuligheder.

ISMS som driftsmanual

For compliance-chefer er det praktiske spørgsmål, hvilket governance-rammeværk der kan absorbere dette skift uden at tvinge teams til at genopbygge deres sårbarhedsprogrammer fra bunden.

ISO / IEC 27001 og Bilag A kontrollerer er direkte i overensstemmelse med ændringen. Den behandler sårbarhedsstyring ikke som en scoringsøvelse, men som en integreret kontrol inden for et bredere informationssikkerhedsstyringssystem.

Kontrol A.8.8 (Håndtering af tekniske sårbarheder) kræver, at organisationer indhenter rettidige oplysninger om tekniske sårbarheder, evaluerer eksponering og træffer passende foranstaltninger. Den rådgiver også om ekstra foranstaltninger ud over simpel scoring, såsom penetrationstest.

Kontrol A.5.7 (Trusselsefterretninger) kræver indsamling og analyse af trusselsdata præcis af den slags, som EPSS og KEV leverer. Læses sammen med A.5.30 (IKT-parathed til forretningskontinuitet), standarden fremstiller sårbarhedsstyring som ét input til operationel robusthed snarere end et selvstændigt scanneroutput.

Certificering giver compliance-chefer et forsvarligt revisionsspor, når tilsynsmyndigheder spørger, hvordan organisationen prioriterede CVE'er uden NVD-berigelse. Ledelsessystemet bør kunne citere ting som kommercielle berigelsesfeeds, KEV-overvågning og EPSS-scoring inden for eksisterende kontrolgrænser.

Vi må ikke nedtone vigtigheden af, hvad NIST lige har gjort, men vi skal også sætte det i kontekst. Denne politiske forstyrrelse tvinger organisationer ad en kurs, de allerede burde have navigeret i. Det er tid til at bruge flere efterretningskilder og tænke mere holistisk om udnyttelsesevne og positionere sårbarhedsstyring som en integreret del af en bredere tilgang til modstandsdygtighed.