美国国家标准与技术研究院调整漏洞数据库处理机制应对提交量激增

美国国家标准与技术研究院（NIST）宣布调整国家漏洞数据库（NVD）的漏洞富集政策，仅对高优先级漏洞进行自动富集处理。此举源于2020年至2025年间漏洞提交量激增263%。自2026年4月15日起，NIST将优先处理被列入CISA已知被利用漏洞目录、联邦政府使用软件及符合第14028号行政令定义的‘关键软件’的漏洞。不符合标准的漏洞将被标记为‘未安排’，但仍保留在NVD中。

NIST表示，该调整旨在集中资源应对具有最大系统性风险的漏洞。其指出，未优先处理的漏洞虽可能对特定系统产生重大影响，但一般不具备与优先类别同等的广泛风险。

此外，NIST将不再重复提供已由CVE编号机构提供的严重性评分，并对修改后的漏洞仅在‘实质性影响’富集数据时重新分析。用户可通过邮件请求特定漏洞重新分析。

所有在2026年3月1日前积压且未富集的漏洞将被归类为‘未安排’，但已列入CISA KEV目录的漏洞除外。NIST同步更新了漏洞状态标签及NVD仪表板，以实现实时数据展示。

该政策变化反映了全球网络安全挑战加剧背景下，公共机构对资源优化与风险优先级管理的重视。