National Vulnerability Database

Identity

• NIST公式ページは、NISTが国家脆弱性データベース（NVD）を維持しており、NVDは「ソフトウェアとハードウェアの欠陥に関する情報のリポジトリ」であると記している（2026年10月時点で閲覧した内容）。検証待ち National Vulnerability Database | NIST
• Cloud Security Allianceの研究ノート「NVD Triage Overhaul: End of Universal CVE Enrichment」（2026年4月29日付）は、2026年3月1日より前にNVD公開された約29,000件の滞留CVEが再分類されたこと、NVDが2025年に約42,000件を補強したこと、NVDが2005年の設立以来運営されていること、KEV掲載CVEを1営業日以内に補強するとNISTがコミットしていることを記している。検証待ち NVD Triage Overhaul: End of Universal CVE Enrichment

Capability

• NISTの2026年4月15日付発表「NIST Updates NVD Operations to Address Record CVE Growth」は、同日から基準を満たすCVEのみを補強し、提出されたCVEはすべてNVDに掲載し続けると述べている。優先対象はCISAのKEVカタログ掲載CVE（1営業日以内の補強が目標）、連邦政府が利用するソフトウェア、EO 14028の重要ソフトウェアで、それ以外は「Lowest Priority - not scheduled for immediate enrichment」とラベルされる。CNAが既にスコアを付けたCVEにはNIST独自の重大度スコアを原則として付与しなくなり、補強の依頼はnvd@nist.govへのメールで可能とされている。検証待ち NIST Updates NVD Operations to Address Record CVE Growth

Credibility

• Help Net Securityの2026年4月16日付記事は、NISTがNVDをリスクベースのモデルに移行し、最重要CVEの補強を優先すると報じている。記事によれば、優先条件はCISAのKEVカタログ掲載、米連邦政府利用ソフトウェア、EO 14028の重要ソフトウェアで、NVD公開日が2026年3月1日より前のCVEは補強しない。NISTは提出件数の急増を理由に挙げ、2025年の約42,000件の補強では提出の伸びに追いつけなかったとも伝えている。検証待ち NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward
• Cloud Security Allianceの研究ノート「NVD Triage Overhaul: End of Universal CVE Enrichment」（2026年4月29日付）は、2026年3月1日より前にNVD公開された約29,000件の滞留CVEが再分類されたこと、NVDが2025年に約42,000件を補強したこと、NVDが2005年の設立以来運営されていること、KEV掲載CVEを1営業日以内に補強するとNISTがコミットしていることを記している。検証待ち NVD Triage Overhaul: End of Universal CVE Enrichment

Use Case

• Infosecurity Magazineの2026年4月16日付記事は、NVDが2026年3月1日より前に報告された未補強の脆弱性に対する定例の補強を取りやめること、基準を満たさないCVEは「Not Scheduled」に分類されるがNVDには追加されること、補強の依頼はnvd@nist.govへのメールで可能であることを報じている。検証待ち NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities - Infosecurity Magazine

Constraints / Current Status

• NISTの2026年4月15日付発表「NIST Updates NVD Operations to Address Record CVE Growth」は、同日から基準を満たすCVEのみを補強し、提出されたCVEはすべてNVDに掲載し続けると述べている。優先対象はCISAのKEVカタログ掲載CVE（1営業日以内の補強が目標）、連邦政府が利用するソフトウェア、EO 14028の重要ソフトウェアで、それ以外は「Lowest Priority - not scheduled for immediate enrichment」とラベルされる。CNAが既にスコアを付けたCVEにはNIST独自の重大度スコアを原則として付与しなくなり、補強の依頼はnvd@nist.govへのメールで可能とされている。検証待ち NIST Updates NVD Operations to Address Record CVE Growth
• NIST公式のNVDページは、2025年に約42,000件のCVEを補強し（過去のどの年よりも45%多い）、この変更はCVE提出件数が2020年から2025年にかけて263%増加したことによると記している。同ページはまた、2026年6月17日にSSVCと影響範囲（affected）データを加える拡張を展開し、2026年8月26日には「affected」データの提供方法を更新したと記している。検証待ち National Vulnerability Database | NIST
• Infosecurity Magazineの2026年4月16日付記事は、NVDが2026年3月1日より前に報告された未補強の脆弱性に対する定例の補強を取りやめること、基準を満たさないCVEは「Not Scheduled」に分類されるがNVDには追加されること、補強の依頼はnvd@nist.govへのメールで可能であることを報じている。検証待ち NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities - Infosecurity Magazine

Key References

• NVDの補強方針の変更は、なぜ注目されましたか？
• NVDの運用変更についての情報は、どの出典で確認できますか？
• National Vulnerability Database（NVD）とは何ですか？

Related

• NIST— NIST公式ページは、NISTがNVDを維持していると記している（運営関係）。
• 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）— 2026年4月15日からのNVDの優先補強基準に、CISAのKEVカタログ掲載CVEが含まれる（NIST発表）。
• CVE Program— NVDはCVEを取り込み、補強（enrichment）を行うリポジトリとして運営されている（NIST発表・CSA研究ノート）。