NIST, Rekor CVE Artışı Nedeniyle NVD’de Önceliklendirme Modelini Değiştirdi
ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), National Vulnerability Database (NVD) için risk odaklı bir modele geçtiğini açıkladı. 15 Nisan 2026’da duyurulan değişiklikle, CVE kayıtlarının severity score ve etkilenen ürün bilgileriyle desteklendiği enrichment çalışmalarında belirli kategorilere öncelik verilecek.
Kararın arkasında hızla artan CVE bildirimleri bulunuyor. NIST’e göre bildirimler 2020–2025 arasında %263 arttı. Kurumun 2025’te yaklaşık 42 bin CVE için enrichment tamamlaması da artan iş yükünü karşılamaya yetmedi.
Yeni modelde CISA’nın Known Exploited Vulnerabilities (KEV) Catalog’unda bulunan açıklar, ABD federal kurumlarında kullanılan yazılımları etkileyen CVE’ler ve Executive Order 14028 kapsamındaki kritik yazılımlar önceliklendirilecek. KEV kayıtlarında hedef, enrichment işlemlerini bildirimin alınmasından itibaren bir iş gününde tamamlamak.
Tüm CVE’ler NVD’de yayımlanmaya devam edecek. Ancak öncelik kriterlerini karşılamayan kayıtlar hemen enrichment sürecine alınmayacak. Bu durum, ilgili açığın etkilenen sistemler açısından önemsiz olduğu anlamına gelmiyor.
NIST, CVE Numbering Authority (CNA) tarafından severity score sağlanan kayıtlara rutin olarak ayrı bir puan vermeyi de bırakacak. Böylece aynı değerlendirmenin tekrarından kaynaklanan iş yükünün azaltılması hedefleniyor.
Ayrıca, NVD’deki yayımlanma tarihi 1 Mart 2026’dan önce olan ve enrichment bekleyen birikmiş kayıtların “Not Scheduled” kategorisine taşınacağı belirtildi. Kullanıcılar, önceliklendirilmeyen CVE’ler için NIST’e enrichment talebi iletebilecek.
