NIST、CVE急増で「NVD全件分析」を断念　KEV・連邦重要SWを優先へ方針転換

「NVDの情報が揃わなくなるって、脆弱性管理どうなるの？」
「自社ソフトのCVEが“未検査”のまま放置されたら、判断できないのでは？」

チップス

ボス！
NISTがNVDの全件分析を諦めるって発表したでしゅ！
いままでNVDを頼りにしてた脆弱性管理、どうしたらいいでしゅか！？

ボス

CVE登録件数が5年で263%も増えた。
NISTの人員では捌ききれなくなったということだ。
これからは「自社で優先度を決める」能力が問われる時代に入る。

米NISTは2026年4月15日、NVD（National Vulnerability Database）の全件分析を断念し、優先順位付けによるトリアージ運用へ移行すると発表しました。
CISAのKEVや連邦重要ソフトウェアを優先対象とし、その他のCVEは「未検査」として登録のみ行う方針です。

NVD依存の脆弱性管理がなぜ立ち行かなくなるのか、そしてどう備えるべきかを整理します。

NISTが方針転換した背景と新しい優先基準

NVDはCVEに詳細メタデータ（CVSS、CPE、CWEなど）を付与する世界標準データベースです。

新方針で優先される3カテゴリ

NISTは2026年のCVE登録が年3万〜3.3万件規模に達すると予測し、現状の生産能力（最大4,500件/年）では全件処理が不可能と結論づけました。
そこで米国政府にとっての重要度でCVEをトリアージし、他はユーザー要求時のみ分析する運用に切り替えます。
優先基準は以下の通りです。

詳細な背景は@IT（ITmedia）の解説記事で確認できます。

チップス

つまり日本でしか使われてないソフトのCVEは後回しってことでしゅか？
それじゃ困るでしゅ…。

ボス

その通りだ。
国産CMSや日本向けSaaSの脆弱性情報は、NVDを待っていても詳細がこない可能性がある。
JVNやベンダー直接の情報源を自分で掴みに行く姿勢が必要になる。

日本企業が備えるべき代替ソースと運用

NVDに依存したスコアリング前提の脆弱性管理は、遅かれ早かれ行き詰まります。

複数ソースを束ねるトリアージ体制

重要なのは、外部スコアだけに頼らずEPSS（悪用確率）や自社環境の資産情報を掛け合わせて優先度を判断することです。
特にCISA KEVは「現に悪用されている脆弱性」のリストなので、NVD未検査でも最優先で対応が必要になります。
同時に日本固有の情報源にも目を向けてください。

NVD未検査のCVEが増えるほど、「分析されていないが危険」な脆弱性も混ざります。
自社環境に影響するかをSBOMで即特定できる体制づくりが、今後の差になります。

チップス

SBOM、名前は聞いたことあるけどまだちゃんと整備できてないでしゅ…。
早めに動いた方がよさそうでしゅね。

ボス

NVDが完全に頼れる時代は終わった。
自社で判断できる体制を持つ企業だけが、脆弱性の波に乗り遅れなくなる。
今が準備の始め時だ。

まとめ

NISTの方針転換は、脆弱性情報の「全件処理時代」の終焉を意味します。
KEV・EPSS・JVN・SBOMを組み合わせた独自トリアージが、これからの脆弱性管理の標準です。
外部情報の中央集権から、自社判断を前提にした分散管理へ、今すぐシフトを始めてください。