NISTの2026年4月15日付発表によれば、変更後は基準を満たすCVEのみを補強し、提出されたCVEはすべてNVDに掲載し続けます。優先対象はKEV掲載CVE、連邦政府利用ソフトウェア、EO 14028の重要ソフトウェアで、CNAが既にスコアを付けたCVEにはNIST独自の重大度スコアを原則付与しなくなります。Infosecurity Magazineは、2026年3月1日より前に報告された未補強の脆弱性の定例補強が取りやめになると報じています。NIST公式ページによれば、この変更は2020年から2025年にCVE提出件数が263%増加したことによるものです。同ページはその後の2026年6月17日と8月26日のデータ更新にも触れています。
2026年4月のNVD運用変更の内容と背景
優先条件を満たすCVEのみを補強する方式へ変わった点が最大の違いです。