Débordé par l'afflux de CVE, le NIST renonce à enrichir systématiquement toutes les vulnérabilités de la NVD

2026-04-15 · Éditeur : NIST · Domaine : Cybersécurité

Face à une hausse de 263 % des soumissions de CVE entre 2020 et 2025, la base NVD ne détaille plus en priorité que les failles exploitées, celles des logiciels fédéraux et des logiciels critiques. Les autres passent en « non planifié ».

### Contexte Le 15 avril 2026, le **NIST** change le fonctionnement de la **National Vulnerability Database** (NVD), référence mondiale pour les métadonnées des CVE (produits affectés, score de gravité). L'enrichissement des fiches accumulait du retard depuis le début de 2024. ### Caractéristiques - Soumissions de CVE en hausse de **263 %** entre 2020 et 2025, et de près d'un tiers au premier trimestre 2026 par rapport au premier trimestre 2025, selon le NIST ; - Près de **42 000 CVE** enrichies en 2025, **45 %** de plus que n'importe quelle année précédente ; - Enrichissement prioritaire : CVE du catalogue **KEV** de la CISA (objectif d'un jour ouvré), logiciels utilisés par l'administration fédérale, logiciels critiques au sens du décret 14028 ; - Les autres CVE restent publiées mais classées **« Not Scheduled »** ; l'arriéré antérieur au **1er mars 2026** bascule dans cette catégorie, sauf les CVE du KEV ; - Plus de score **CVSS** propre au NIST quand l'autorité de numérotation (CNA) en a fourni un, sauf demande. ### Pourquoi c'est important De nombreux scanners et outils de gestion des vulnérabilités s'appuient sur les données de la NVD pour relier une CVE à un produit. Une part croissante des failles n'aura plus ces informations, ce qui crée des angles morts dans les inventaires. ### À retenir Harold Booth (NIST) le reconnaît : « notre capacité à suivre n'est tout simplement pas là ». Les équipes sécurité doivent croiser la NVD avec d'autres sources (EUVD de l'ENISA, avis des éditeurs, catalogue KEV).

Tags : Vulnérabilités, CVE, États-Unis