NIST réduit l'enrichissement des CVE, 263% de hausse

Ce qui s'est passé

Le National Institute of Standards and Technology a publié le 15 avril 2026 une refonte majeure de sa politique d'enrichissement des vulnérabilités au sein de la National Vulnerability Database. Désormais, l'organisme américain ne traite plus automatiquement l'intégralité des failles référencées : seules celles répondant à des critères de priorisation précis bénéficient du scoring CVSS, des métadonnées CPE et des références détaillées qui font la valeur du dispositif NIST NVD CVE. Cette décision intervient alors que le volume de vulnérabilités publiées a bondi de 263 %, saturant des équipes déjà sous tension. Pour les RSSI et les équipes de détection, la conséquence est immédiate : une part croissante des CVE arrivera dans les outils de gestion des vulnérabilités sans contexte exploitable, compliquant la corrélation automatisée, la priorisation des correctifs et le respect des délais de remédiation imposés par les référentiels réglementaires.

La liste des critères de priorisation se resserre autour de trois cas : les CVE inscrits au catalogue Known Exploited Vulnerabilities (KEV) de la CISA, les vulnérabilités affectant des logiciels utilisés par l'administration fédérale, et les logiciels critiques définis par l'Executive Order 14028. Les CVE publiés avant le 1er mars 2026 qui n'ont pas encore été traités sont basculés en statut « Not Scheduled » et ne le seront pas sans demande explicite à l'adresse nvd@nist.gov.

Le NIST justifie cette bascule par une explosion du volume : 263% de hausse des soumissions entre 2020 et 2025, et près de 42 000 CVE enrichis sur la seule année 2025, soit 45% de plus que le précédent pic historique. L'organisme cesse également de produire un score CVSS secondaire lorsqu'une CVE Numbering Authority a déjà publié son propre score, et ne réanalysera une CVE modifiée que si le changement a un impact matériel sur les données d'enrichissement.

Pourquoi c'est important

Le NVD est depuis vingt ans le référentiel de facto sur lequel reposent les scanners de vulnérabilités, les outils de gestion de patch et une grande partie des programmes de conformité. En perdant la garantie d'un enrichissement exhaustif, les RSSI se retrouvent avec un référentiel à deux vitesses : les CVE « premium » enrichis en priorité, et une longue traîne d'entrées à peine documentées. Les chaînes de traitement qui s'appuient aveuglément sur le CVSS du NVD pour prioriser les correctifs vont devoir intégrer des sources alternatives.

Pour les éditeurs et les équipes DevSecOps, l'enjeu immédiat est la qualité des données fournies par les CNA eux-mêmes : puisque le NIST ne corrige plus systématiquement les scores, la responsabilité bascule vers les organismes qui attribuent les CVE. Les référentiels tiers comme le EPSS de FIRST, les bases de SentinelOne, VulnCheck ou GreyNoise deviennent complémentaires plutôt qu'optionnels. Côté conformité, les contrôles PCI DSS, HIPAA ou DORA qui s'appuient sur une lecture mécanique du NVD devront être réoutillés.

Ce qu'il faut retenir

• Le NVD reste la source publique de CVE mais son enrichissement devient sélectif : priorité aux KEV, logiciels fédéraux et critiques.
• Les CVE publiés avant le 1er mars 2026 et non enrichis ne le seront qu'à la demande, par email à nvd@nist.gov.
• Les programmes de gestion de vulnérabilités doivent désormais croiser plusieurs sources : KEV CISA, EPSS, bases CNA, renseignement privé.

Un précédent qui remonte à 2024

Cette annonce d'avril 2026 n'est pas une surprise pour les observateurs du secteur : elle prolonge une crise identifiée dès février 2024, lorsque le NVD avait brutalement réduit son rythme d'enrichissement sans communication préalable, laissant des milliers de CVE sans score CVSS ni métadonnées CPE pendant plusieurs mois. Face au tollé des éditeurs de solutions de sécurité et des équipes SOC, le NIST avait alors promis un plan de résorption du backlog, en partie financé par un contrat additionnel avec un prestataire externe. La CISA avait également lancé son propre programme Vulnrichment pour combler les lacunes du NVD sur les CVE jugés prioritaires. La décision du 15 avril 2026 acte donc, de fait, l'échec de ce plan de rattrapage : plutôt que de résorber le backlog, le NIST choisit d'assumer officiellement une couverture partielle et durable, en concentrant ses ressources sur un périmètre restreint plutôt qu'en cherchant à traiter l'intégralité du flux entrant.

Des alternatives à combiner pour ne pas perdre en visibilité

Pour les équipes qui pilotaient jusqu'ici leur gestion des vulnérabilités sur le seul NVD, plusieurs sources complémentaires permettent de limiter l'impact de cette bascule :

• CVE.org (MITRE) : les CVE Numbering Authorities publient de plus en plus souvent leur propre score CVSS directement à la source, sans attendre l'enrichissement du NVD.
• CISA Vulnrichment : couvre un sous-ensemble de CVE à fort impact avec des métadonnées CPE et des scores SSVC, en complément direct du KEV.
• EPSS (FIRST.org) : le score de probabilité d'exploitation, mis à jour quotidiennement, reste disponible indépendamment du statut d'enrichissement NVD et gagne en importance pour prioriser les correctifs.
• OSV.dev et GitHub Security Advisories : particulièrement pertinents pour les vulnérabilités affectant les dépendances open source et les écosystèmes applicatifs (npm, PyPI, Maven, etc.).
• Bases commerciales (VulnCheck, GreyNoise, Vulners) : offrent un enrichissement propriétaire souvent plus réactif, à intégrer dans les pipelines de threat intelligence pour les organisations qui en ont les moyens.

Cette fragmentation des sources impose en pratique une révision des processus de gestion des vulnérabilités : les organisations qui automatisaient leur priorisation via une simple requête API sur le NVD devront désormais agréger plusieurs flux et gérer les incohérences de scoring entre CNA. Pour les PME et ETI qui n'ont pas les ressources d'un centre opérationnel de sécurité dédié, ce changement accroît mécaniquement la dépendance à des prestataires externes capables de consolider ces sources et de maintenir une vision fiable du risque applicable à leur périmètre.