15. april 2026 godkjente National Institute of Standards and Technology (NIST) formelt forlatt sitt langvarige oppdrag å berike all informasjon om sårbarheter som publiseres i databasen.
NIST driver den nasjonale sårbarhetsdatabasen (NVD), som inneholder informasjon om vanlige sårbarheter og eksponeringer (CVE-er). Hver CVE representerer en programvare- eller maskinvaresårbarhet.
CVE-er inneholder ikke mye informasjon i seg selv, og det er her NIST kom inn i bildet. De tildelte hver av dem en Common Vulnerability Scoring System (CVSS)-poengsum som indikerer hvor alvorlig den er. De tildelte også Common Platform Enumeration (CPE)-identifikatorer, som er en standard måte å koble sårbarheter til spesifikke teknologiprodukter.
NIST har flittig beriket CVE-er siden NVD startet i 1999, men alt dette har nettopp endret seg. Under den omstrukturerte policyen er full berikelse begrenset til CVE-er i tre prioritetskategorier: CISAs katalog over kjente utnyttede sårbarheter (KEV), programvare som brukes av amerikanske føderale etater og kritisk programvare i henhold til Executive Order 14028. Alt annet er betegnet som «Laveste prioritet».
En økende tidevann av sårbarheter
NISTs omstrukturering er en innrømmelse av overveldelse. De har slitt med mer arbeid ettersom volumet av CVE-er har eksplodert. Innsendinger til NVD økte med 263 % mellom 2020 og 2025, sa de, og la til at første kvartal 2026 var nesten en tredjedel høyere enn samme periode året før. I fjor beriket de omtrent 42 000 sårbarheter (45 % flere enn noe tidligere år).
Byrået har ikke holdt tritt med den økende arbeidsmengden. I fjor så de at etterslepet mer enn doblet seg. Kunngjøringen i april innebar at de håndterte dette ved å erklære en form for CVE-konkurs, og flytte tusenvis av etterslepne dokumenter publisert før 1. mars 2026 til kategorien «Ikke planlagt», som de kanskje eller kanskje ikke tar seg av i fremtiden.
NVD-berikelsen hadde heller ikke innfridd kvalitetsforventningene. En generalinspektør fra handelsdepartementet anmeldelse fant at NISTs alvorlighetspoengsummer samsvarte med de til uavhengige vurderere bare i 12 % av tilfellene, mens nesten 80 % av innsendingene allerede hadde kommet inn med poengsummer fra den rapporterende parten.
Den voksende sårbarhetskløften
Dette er en stor sak for team for sårbarhetshåndtering. Uten CPE-data kan ikke sårbarhetsskannere som utelukkende er avhengige av NVD-avledet berikelse, matche en CVE med et produkt. NIST erkjente at de nye kriteriene «kanskje ikke fanger opp alle potensielt høy-konsekvens CVE».
Alt dette skjer på et tidspunkt hvor utnyttelse av sårbarheter blir enda mer betydningsfull. Den har overgått stjålne legitimasjonsdetaljer som den ledende bruddvektoren på tvers av mer enn 31 000 gjennomgåtte hendelser. ifølge Verizons rapport om etterforskning av datainnbrudd.
Det blir også mer automatisert. CrowdStrikes Årlig trusselrapport 2026 konkluderte med at AI-aktiverte motstandere økte angrepene med 89 % år over år i 2025, med inntrengere som distribuerte generativ AI på tvers av «målretting, initial tilgang og utvikling av skadelig programvare og andre verktøy».
Og hastigheten på rapportering av sårbarheter ser ut til å øke enda mer dramatisk. Tenk på Mythos, den antropiske AI-modellen som allerede har avdekket sårbarheter i massevis og vil sannsynligvis bli etterfulgt av andre konkurrerende modeller.
Likevel står organisasjonene stille. Hastigheten på mottiltakene henger etter utviklingen av automatiserte angrep: 77% av bedriftsorganisasjoner trenger fortsatt mer enn en uke på å distribuere en kritisk oppdatering, sier Cloud Security Alliance. Det er ikke rart at de også fant anslagsvis 38 % til 45 % av kritiske sårbarheter som ikke var rettet opp i bransjen til enhver tid.
Fra ad-hoc-håndtering til sårbarhetsmotstandskraft
Tilnærminger til sårbarhetshåndtering må tilpasses hvis vi skal møte disse utfordringene. Bedrifter må begynne å se på sårbarhetshåndtering som en del av et bredere initiativ for robusthet. Det bør inkludere å se på utnyttbarhet fra et mer helhetlig perspektiv.
Tiltakene her inkluderer å prioritere synlighet over hva som skjer i teknologistakken fra ende til annen, for å få en følelse ikke bare av hva som kan utnyttes i infrastrukturen din, men også hvordan sprengningsradiusen og den organisatoriske påvirkningen ser ut.
Det betyr også å bevege seg bort fra CVSS-sentrisk sårbarhetshåndtering. Det var aldri en god idé, fordi en enkelt poengsum ikke kan vurdere den organisatoriske risikoen for en sårbarhet tilstrekkelig.
A studere fra Kagawa-universitetet i Japan fant at CVSS-baserte tilnærminger med en alvorlighetsgrense på 7.0 oppnår effektivitetsrater på bare 0.2 % til 0.5 %. Det betyr at denne smale bedriftssorteringsmetoden adresserer en liten brøkdel av sårbarheter som faktisk kan utnyttes.
Til sammenligning fant studien at integrerte rammeverk gjør det bedre. Utviklet av Forum of Incident Response and Security Teams (FIRST), er Exploit Prediction Scoring System (EPSS) en maskinlæringsmodell som tildeler sårbarheter en poengsum som indikerer hvor sannsynlig det er at de vil bli utnyttet i den virkelige verden i løpet av de neste 30 dagene.
Ved å kombinere CVSS, EPSS og data fra CISAs KEV-liste reduseres arbeidsmengden for hasteprioritering med omtrent 95 %, fra omtrent 16 000 til 850 sårbarheter, samtidig som dekningen på 85.6 % opprettholdes, ifølge Kagawa-studien.
NIST har allerede utvidet dekningen sin utover CVSS. I juni oppdaterte de NVD til å inkludere interessentspesifikke sårbarhetskategoriseringsdata (SSVC) hentet fra CISA. Dette er et beslutningsrammeverk for prioritering av sårbarhetsutbedring, utviklet av Carnegie Mellons Software Engineering Institute (CERT/CC) sammen med CISA. CISA tilbyr dette som en del av Vulnrichment-programmet, sitt eget forsøk på å bidra til å berike CVE-informasjon. Så NVC har gått fra en overfladisk, bredere modell til en smalere, rikere modell som har et mer helhetlig syn på utnyttbarhet.
ISMS som bruksanvisning
For compliance-ansvarlige er det praktiske spørsmålet hvilket styringsrammeverk som kan absorbere dette skiftet uten å tvinge team til å gjenoppbygge sårbarhetsprogrammene sine fra bunnen av.
ISO / IEC 27001 og dens Vedlegg A kontrollerer er direkte i tråd med endringen. Den behandler sårbarhetshåndtering ikke som en poengsettingsøvelse, men som en integrert kontroll innenfor et bredere informasjonssikkerhetsstyringssystem.
Kontroll A.8.8 (Håndtering av tekniske sårbarheter) krever at organisasjoner innhenter rettidig informasjon om tekniske sårbarheter, evaluerer eksponering og iverksetter passende tiltak. Den gir også råd om ekstra tiltak utover enkel poengsetting, som penetrasjonstesting.
Kontroll A.5.7 (Trusselinformasjon) krever innsamling og analyse av trusseldata av nøyaktig den typen EPSS og KEV tilbyr. Les sammen med A.5.30 (IKT-beredskap for forretningskontinuitet), standarden rammer inn sårbarhetshåndtering som én innspilling til operasjonell robusthet snarere enn en frittstående skannerutgang.
Sertifisering gir samsvarsansvarlige et forsvarlig revisjonsspor når regulatorer spør hvordan organisasjonen prioriterte CVE-er uten NVD-berikelse. Styringssystemet bør kunne sitere ting som kommersielle berikelsesfeeder, KEV-overvåking og EPSS-poengsum innenfor eksisterende kontrollgrenser.
Vi må ikke bagatellisere viktigheten av det NIST nettopp gjorde, men vi må også sette det i kontekst. Denne politiske omveltningen tvinger organisasjoner inn på en vei de allerede burde ha navigert. Det er på tide å bruke flere etterretningskilder og tenke mer helhetlig om utnyttbarhet, og posisjonere sårbarhetshåndtering som en integrert del av en bredere tilnærming til robusthet.
Utvid din kunnskap
Podcast: Phishing for trøbbel S02 E05: Du er kompatibel. Er du motstandsdyktig?
Blogg: Hvorfor cyberrobusthet fortsatt er langt unna for mange britiske bedrifter
