ABD Ulusal Standartlar Teknoloji Enstitüsü (NIST), National Vulnerability Database (NVD) için risk odaklı modele geçtiğini açıkladı. 15 Nisan 2026’ duyurulan değişiklikle, CVE kayıtlarının severity score etkilenen ürün bilgileriyle desteklendiği enrichment çalışmalarında belirli kategorilere öncelik verilecek.
Kararın arkasında hızla artan CVE bildirimleri bulunuyor. NIST’e göre bildirimler 2020–2025 arasında %263 arttı. Kurumun 2025’te yaklaşık 42 bin CVE için enrichment tamamlaması artan iş yükünü karşılamaya yetmedi.
Yeni modelde CISA’nın Known Exploited Vulnerabilities (KEV) Catalog’unda bulunan açıklar, ABD federal kurumlarında kullanılan yazılımları etkileyen CVE’ler Executive Order 14028 kapsamındaki kritik yazılımlar önceliklendirilecek. KEV kayıtlarında hedef, enrichment işlemlerini bildirimin alınmasından itibaren iş gününde tamamlamak.
Tüm CVE’ler NVD’ yayımlanmaya devam edecek. Ancak öncelik kriterlerini karşılamayan kayıtlar hemen enrichment sürecine alınmayacak. durum, ilgili açığın etkilenen sistemler açısından önemsiz olduğu anlamına gelmiyor.
NIST, CVE Numbering Authority (CNA) tarafından severity score sağlanan kayıtlara rutin olarak ayrı puan vermeyi bırakacak. Böylece aynı değerlendirmenin tekrarından kaynaklanan iş yükünün azaltılması hedefleniyor.
Ayrıca, NVD’deki yayımlanma tarihi 1 Mart 2026’dan önce olan enrichment bekleyen birikmiş kayıtların “Not Scheduled” kategorisine taşınacağı belirtildi. Kullanıcılar, önceliklendirilmeyen CVE’ler için NIST’e enrichment talebi iletebilecek.
