NVD-återgången bör leda till en motståndskraftig strategi för sårbarhetshantering

By Danny Bradbury • 25 juni 2026 • 6 minuters läsning

Den 15 april 2026 utfärdade National Institute of Standards and Technology (NIST) formellt överges sitt långvariga uppdrag att berika all information om sårbarheter som publiceras i dess databas.

NIST driver den nationella sårbarhetsdatabasen (NVD), som innehåller information om vanliga sårbarheter och exponeringar (CVE). Varje CVE representerar en mjukvaru- eller hårdvarusårbarhet.

CVE:er innehåller inte mycket information i sig själva, vilket var NIST kom in i bilden. De tilldelade var och en av dem en Common Vulnerability Scoring System (CVSS)-poäng som anger hur allvarlig den är. De tilldelade också Common Platform Enumeration (CPE)-identifierare, vilket är ett standardiserat sätt att koppla sårbarheter till specifika tekniska produkter.

NIST har flitigt berikat CVE:er sedan NVD startade 1999, men allt detta har just förändrats. Enligt den omstrukturerade policyn är fullständig berikning begränsad till CVE:er i tre prioritetskategorier: CISA:s katalog över kända utnyttjade sårbarheter (KEV), programvara som används av amerikanska federala myndigheter och kritisk programvara enligt Executive Order 14028. Allt annat betecknas som "Lägsta prioritet".

En stigande flodvåg av sårbarheter

NIST:s omstrukturering är ett erkännande av överväldigande resurser. De har brottats med mer arbete i takt med att antalet CVE-fall har exploderat. Antalet inskickade data till NVD ökade med 263 % mellan 2020 och 2025, uppgav de, och tillade att det första kvartalet 2026 var nästan en tredjedel högre än samma period föregående år. Förra året berikade de ungefär 42 000 sårbarheter (45 % fler än något tidigare år).

Myndigheten har inte hållit jämna steg med den ökande arbetsbelastningen. Förra året såg man att sin orderstockning mer än fördubblades. I aprilmeddelandet hanterade man detta genom att förklara en form av CVE-konkurs, vilket innebar att tusentals eftersläpande handlingar som publicerats före den 1 mars 2026 flyttades till kategorin "Ej schemalagd" som man eventuellt tar itu med i framtiden.

NVD-berikningen hade inte heller uppfyllt kvalitetsförväntningarna. En generalinspektör från handelsdepartementet översyn fann att NIST:s allvarlighetspoäng matchade de från oberoende bedömare endast i 12 % av fallen, medan nästan 80 % av inlagorna redan hade inkommit med poäng från den rapporterande parten.

Den växande sårbarhetsklyftan

Detta är en stor sak för sårbarhetshanteringsteam. Utan CPE-data kan sårbarhetsskannrar som uteslutande förlitar sig på NVD-deriverad anrikning inte matcha en CVE med en produkt. NIST erkände att de nya kriterierna "kanske inte fångar alla potentiellt högpresterande CVE".

Allt detta händer vid en tidpunkt då sårbarhetsutnyttjande blir ännu mer betydelsefullt. Det har passerat stulna autentiseringsuppgifter som den ledande intrångsvektorn bland fler än 31 000 granskade incidenter. enligt Verizons rapport om utredningar av dataintrång.

Det blir också mer automatiserat. CrowdStrikes Årlig hotrapport 2026 drog slutsatsen att AI-aktiverade motståndare ökade attackerna med 89 % jämfört med föregående år under 2025, där inkräktare använde generativ AI för ”inriktning, initial åtkomst och utveckling av skadlig kod och andra verktyg”.

Och hastigheten på rapportering av sårbarheter ser ut att öka ännu mer dramatiskt. Tänk på Mythos, den antropiska AI-modellen som redan har avslöjade sårbarheter i massor och kommer sannolikt att följas av andra konkurrerande modeller.

Ändå står organisationerna stilla. Hastigheten på motåtgärderna släpar efter utvecklingen av automatiserade attacker: 77% av företagsorganisationer behöver fortfarande mer än en vecka för att driftsätta en kritisk patch, säger Cloud Security Alliance. Det är inte konstigt att de också fann uppskattningsvis 38 % till 45 % av kritiska sårbarheter kvar som inte är patchade i branschen vid varje given tidpunkt.

Från ad hoc-hantering till sårbarhetsmotståndskraft

Metoder för sårbarhetshantering måste anpassas om vi ska kunna möta dessa utmaningar. Företag måste börja se på sårbarhetshantering som en del av ett bredare initiativ för motståndskraft. Det bör inkludera att se på utnyttjandemöjligheter ur ett mer holistiskt perspektiv.

Åtgärder här inkluderar att prioritera insyn i vad som händer i teknikstacken från början till slut, för att få en uppfattning inte bara om vad som kan utnyttjas i din infrastruktur utan också hur dess explosionsradie och organisatoriska påverkan ser ut.

Det innebär också att man går ifrån CVSS-centrerad sårbarhetshantering. Det var aldrig en bra idé, eftersom en enda poäng inte tillräckligt kan bedöma den organisatoriska risken för en sårbarhet.

A studera från Japans Kagawa-universitet fann att metoder som endast bygger på CVSS och har en allvarlighetsgrad på 7.0 uppnår effektivitetsgrader på endast 0.2 % till 0.5 %. Det betyder att denna snäva företagssorteringsmetod åtgärdar en mycket liten del av de sårbarheter som faktiskt kan utnyttjas.

Studien visade däremot att integrerade ramverk presterar bättre. Exploit Prediction Scoring System (EPSS), som utvecklats av Forum of Incident Response and Security Teams (FIRST), är en maskininlärningsmodell som tilldelar sårbarheter en poäng som anger hur sannolikt det är att de kommer att utnyttjas i den verkliga världen under de kommande 30 dagarna.

Genom att kombinera CVSS, EPSS och data från CISA:s KEV-lista minskas arbetsbelastningen för brådskande prioritering med cirka 95 %, från ungefär 16 000 till 850 sårbarheter, samtidigt som täckningen på 85.6 % bibehålls, enligt Kagawa-studien.

NIST har redan breddat sin täckning bortom CVSS. I juni uppdaterade de NVD för att inkludera intressentspecifik sårbarhetskategoriseringsdata (SSVC) från CISA. Detta är ett beslutsramverk för att prioritera sårbarhetsåtgärder, utvecklat av Carnegie Mellons Software Engineering Institute (CERT/CC) tillsammans med CISA. CISA tillhandahåller detta som en del av Vulnrichment-programmet, sitt eget försök att berika CVE-information. Så NVC har gått från en grundare, bredare modell till en smalare, rikare modell som har en mer holistisk syn på utnyttjandemöjligheter.

ISMS som bruksanvisning

För compliance-ansvariga är den praktiska frågan vilket styrningsramverk som kan hantera denna förändring utan att tvinga team att bygga om sina sårbarhetsprogram från grunden.

ISO / IEC 27001 och dess Bilaga A kontroller är direkt i linje med förändringen. Den behandlar sårbarhetshantering inte som en poängsättning utan som en integrerad kontroll inom ett bredare informationssäkerhetshanteringssystem.

Kontroll A.8.8 (Hantering av tekniska sårbarheter) kräver att organisationer inhämtar information om tekniska sårbarheter i rätt tid, utvärderar exponeringen och vidtar lämpliga åtgärder. Den ger också råd om ytterligare åtgärder utöver enkel poängsättning, som penetrationstester.

Kontroll A.5.7 (Hotinformation) kräver insamling och analys av hotdata av exakt den typ som EPSS och KEV tillhandahåller. Läs tillsammans med A.5.30 (IKT-beredskap för affärskontinuitet), standarden ramar in sårbarhetshantering som en ingång till operativ motståndskraft snarare än en fristående skannerutgång.

Certifiering ger compliance-ansvariga en försvarbar revisionslogg när tillsynsmyndigheter frågar hur organisationen prioriterade CVE:er utan NVD-berikning. Ledningssystemet bör kunna citera saker som kommersiella berikningsflöden, KEV-övervakning och EPSS-poängsättning inom befintliga kontrollgränser.

Vi får inte förringa vikten av vad NIST just gjorde, men vi måste också sätta det i sitt sammanhang. Denna policyomvälvning tvingar organisationer att följa en väg de redan borde ha navigerat. Det är dags att använda flera underrättelsekällor och tänka mer holistiskt kring utnyttjandemöjligheter, och positionera sårbarhetshantering som en integrerad del av en bredare resiliensstrategi.