Le retrait de la NVD devrait inciter à une approche de gestion des vulnérabilités axée sur la résilience

Le retrait du NVD devrait inciter à une approche de gestion de la vulnérabilité axée sur la résilience

By Danny Bradbury • 25 juin 2026 • 6 min de lecture

Le 15 avril 2026, l'Institut national des normes et de la technologie (NIST) a officiellement abandonné sa mission de longue date consiste à enrichir toutes les informations sur les vulnérabilités publiées dans sa base de données.

Le NIST gère la base de données nationale des vulnérabilités (NVD), qui contient des informations sur les vulnérabilités et expositions communes (CVE). Chaque CVE représente une vulnérabilité logicielle ou matérielle.

Les CVE ne contiennent pas beaucoup d'informations en elles-mêmes, c'est là qu'intervient le NIST. Il attribue à chacune d'elles un score CVSS (Common Vulnerability Scoring System) qui indique sa gravité. Il attribue également des identifiants CPE (Common Platform Enumeration), une méthode standard pour associer les vulnérabilités à des produits technologiques spécifiques.

Depuis la création du NVD en 1999, le NIST s'emploie à enrichir assidûment sa base de données CVE, mais cette approche a récemment évolué. Désormais, l'enrichissement complet est limité aux CVE appartenant à trois catégories prioritaires : le catalogue des vulnérabilités exploitées connues (KEV) de la CISA, les logiciels utilisés par les agences fédérales américaines et les logiciels critiques visés par le décret présidentiel 14028. Toutes les autres vulnérabilités sont classées comme « priorité minimale ».

Une vague montante de vulnérabilités

La restructuration du NIST témoigne de son incapacité à gérer une charge de travail suffisante. L'organisme est confronté à une augmentation considérable du nombre de CVE. Les soumissions au NVD ont augmenté de 263 % entre 2020 et 2025, a-t-il indiqué, ajoutant que le premier trimestre 2026 a enregistré une hausse de près d'un tiers par rapport à la même période de l'année précédente. L'année dernière, il a enrichi la base de données avec environ 42 000 vulnérabilités (soit 45 % de plus que les années précédentes).

L'agence peine à faire face à l'augmentation de sa charge de travail. L'an dernier, son arriéré a plus que doublé. En avril, elle a annoncé une procédure de mise en faillite administrative, déplaçant des milliers d'enregistrements en souffrance, publiés avant le 1er mars 2026, dans la catégorie « Non programmé », où ils pourraient être traités ultérieurement.

L'enrichissement NVD ne répondait pas non plus aux attentes en matière de qualité. Un inspecteur général du département du Commerce évaluation Il a été constaté que les scores de gravité du NIST ne correspondaient à ceux des évaluateurs indépendants que dans 12 % des cas, alors que près de 80 % des soumissions arrivaient déjà accompagnées des scores de la partie déclarante.

La faille croissante de la vulnérabilité

C’est un point crucial pour les équipes de gestion des vulnérabilités. Sans données CPE, les scanners de vulnérabilités qui s’appuient exclusivement sur l’enrichissement issu de NVD ne peuvent pas associer une CVE à un produit. Le NIST a reconnu que les nouveaux critères « pourraient ne pas détecter toutes les CVE potentiellement critiques ».

Tout cela se produit à un moment où l'exploitation des vulnérabilités prend des conséquences encore plus graves. Elle a dépassé le vol d'identifiants comme principal vecteur d'intrusion sur plus de 31 000 incidents analysés. selon Rapport d'enquête de Verizon sur les violations de données.

Le processus s'automatise également de plus en plus. CrowdStrike Rapport annuel sur les menaces 2026 ont conclu que les adversaires utilisant l'IA ont augmenté leurs attaques de 89 % d'une année sur l'autre en 2025, les intrus déployant une IA générative pour « le ciblage, l'accès initial et le développement de logiciels malveillants et d'autres outils ».

Et la vitesse de signalement des vulnérabilités devrait augmenter encore plus considérablement. Prenons l'exemple de Mythos, le modèle d'IA anthropique qui a déjà… vulnérabilités découvertes en masse et sera probablement suivi par d'autres modèles concurrents.

Pourtant, les organisations restent immobiles. La rapidité des contre-mesures est inférieure à l'évolution des attaques automatisées : 77 % Selon la Cloud Security Alliance, de nombreuses entreprises mettent encore plus d'une semaine à déployer un correctif critique. Il n'est donc pas surprenant qu'elle ait également constaté qu'entre 38 % et 45 % des vulnérabilités critiques du secteur restent non corrigées à un instant donné.

De la gestion ad hoc à la résilience face aux vulnérabilités

Les approches de gestion des vulnérabilités doivent évoluer pour relever ces défis. Les entreprises doivent désormais considérer la gestion des vulnérabilités comme un élément d'une initiative de résilience plus globale. Cela implique d'appréhender l'exploitabilité de manière plus holistique.

Les mesures consistent notamment à privilégier la visibilité sur l'ensemble de la pile technologique, afin de comprendre non seulement les vulnérabilités de votre infrastructure, mais aussi l'étendue des dégâts et l'impact organisationnel.

Cela implique également d'abandonner la gestion des vulnérabilités centrée sur le CVSS. Cette approche n'a jamais été judicieuse, car un score unique ne permet pas d'évaluer correctement le risque organisationnel lié à une vulnérabilité.

A étude Une étude de l'université Kagawa au Japon a révélé que les approches basées uniquement sur le score CVSS, avec un seuil de gravité de 7.0, n'atteignent qu'un taux d'efficacité de 0.2 % à 0.5 %. Autrement dit, cette méthode de triage d'entreprise restrictive ne traite qu'une infime partie des vulnérabilités réellement exploitables.

L'étude a par ailleurs constaté que les cadres intégrés sont plus performants. Développé par le Forum des équipes de réponse aux incidents et de sécurité (FIRST), le système de notation de prédiction des exploits (EPSS) est un modèle d'apprentissage automatique qui attribue aux vulnérabilités un score indiquant la probabilité qu'elles soient exploitées dans le monde réel au cours des 30 prochains jours.

Selon l'étude de Kagawa, la combinaison des données CVSS, EPSS et de la liste KEV de la CISA réduit la charge de travail liée à la priorisation urgente d'environ 95 %, passant d'environ 16 000 à 850 vulnérabilités, tout en maintenant une couverture de 85.6 %.

Le NIST a déjà étendu sa couverture au-delà du CVSS. En juin, il a mis à jour le NVD pour y inclure les données de catégorisation des vulnérabilités spécifiques aux parties prenantes (SSVC) provenant de la CISA. Ce cadre décisionnel, développé par le Software Engineering Institute (CERT/CC) de l'université Carnegie Mellon en collaboration avec la CISA, permet de prioriser la correction des vulnérabilités. La CISA le fournit dans le cadre de son programme Vulnrichment, une initiative visant à enrichir les informations du CVE. Le NVD est ainsi passé d'un modèle plus superficiel et plus général à un modèle plus précis et plus complet, offrant une vision plus globale de l'exploitabilité.

Manuel d'utilisation du SMSI

Pour les responsables de la conformité, la question pratique est de savoir quel cadre de gouvernance peut absorber ce changement sans obliger les équipes à reconstruire leurs programmes de gestion des vulnérabilités à partir de zéro.

ISO / IEC 27001 : besoins particuliers, topographie du site et intégration paysagère. Contrôles de l'Annexe A est directement alignée sur ce changement. Elle considère la gestion des vulnérabilités non pas comme un exercice de notation, mais comme un contrôle intégré au sein d'un système de gestion de la sécurité de l'information plus vaste.

Contrôle A.8.8 (Gestion des vulnérabilités techniques) Elle exige des organisations qu'elles obtiennent rapidement des informations sur les vulnérabilités techniques, évaluent leur exposition et prennent les mesures appropriées. Elle fournit également des conseils sur des mesures complémentaires au-delà de la simple notation, comme les tests d'intrusion.

Contrôle A.5.7 (Renseignements sur les menaces) nécessite la collecte et l'analyse de données sur les menaces du type précis que fournissent EPSS et KEV. À lire conjointement avec A.5.30 (Préparation des TIC pour la continuité des activités), la norme considère la gestion des vulnérabilités comme un élément parmi d'autres de la résilience opérationnelle plutôt que comme un résultat d'analyse autonome.

La certification offre aux responsables de la conformité une piste d'audit fiable lorsque les autorités de réglementation s'interrogent sur la manière dont l'organisation a priorisé les CVE sans enrichissement NVD. Le système de gestion doit pouvoir justifier des éléments tels que les flux d'enrichissement commerciaux, la surveillance des KEV et le score EPSS, dans le respect des périmètres de contrôle existants.

Il ne faut pas minimiser l'importance des récentes avancées du NIST, mais il est essentiel de les replacer dans leur contexte. Cette évolution majeure contraint les organisations à emprunter une voie qu'elles auraient déjà dû suivre. Il est temps d'exploiter de multiples sources de renseignement et d'adopter une vision plus globale de l'exploitabilité, en intégrant la gestion des vulnérabilités à une stratégie de résilience plus large.