Le NIST choisit de se concentrer, mais oublie qui est réellement à risque

La nouvelle approche du NVD par le NIST est une étape logique dans la gestion du flot de CVE. Mais en donnant la priorité aux logiciels gouvernementaux, le secteur privé risque de se retrouver sans les informations dont il a besoin.

263 % CROISSANCE DES SOUMISSIONS DE CVE DE 2020 À 2025

42 000 CVE ENRICHIS EN 2025, TOUJOURS INSUFFISANT

1 % DE L'ENSEMBLE DES CVE RÉELLEMENT EXPLOITÉS DANS LA NATURE

Cela aurait dû arriver depuis longtemps. Après des années de marée montante de divulgations de vulnérabilités, une hausse de 263 pour cent des soumissions de CVE entre 2020 et 2025, le National Institute of Standards and Technology a enfin pris une mesure décisive. À compter du 15 avril 2026, le NIST n'enrichira plus que les CVE répondant à des critères de priorisation spécifiques : les vulnérabilités répertoriées dans le catalogue Known Exploited Vulnerabilities (KEV) de la CISA, les logiciels utilisés au sein du gouvernement fédéral américain, et les systèmes désignés comme critiques en vertu de l'Executive Order 14028. Toutes les autres soumissions continueront d'apparaître dans la National Vulnerability Database (NVD), mais seront étiquetées « Not Scheduled ». C'est du langage bureaucratique pour dire : ne retenez pas votre souffle.

En tant que professionnel de la sécurité, j'en comprends la logique. Notre secteur souffre depuis longtemps de ce que j'appelle la « surcharge signal-bruit » : une avalanche de données à analyser, dont l'immense majorité n'a aucune pertinence directe pour les systèmes que nous protégeons réellement. Une étude de VulnCheck a montré que, parmi les plus de 40 000 nouvelles vulnérabilités publiées et cataloguées l'an dernier, seulement 1 pour cent, soit 422 CVE à peine, ont été activement exploitées dans la nature. Se concentrer sur ce qui compte véritablement est donc tout à fait défendable.

« Des vulnérabilités sont publiées, mais non priorisées. Cela ne facilite pas la vie des défenseurs. »

Et pourtant, quelque chose ne va pas. Assez fondamentalement, même.

Le paradoxe d'une transparence sans contexte

Le NIST a choisi de continuer à publier tous les CVE, mais ne les enrichira plus systématiquement de scores CVSS, de configurations logicielles concernées, ni de contexte supplémentaire. Le résultat est un entre-deux inconfortable : les vulnérabilités sont divulguées, mais sans les indications dont les équipes de sécurité ont besoin pour savoir quoi en faire. C'est de la transparence dans sa forme la plus creuse.

Imaginez un médecin annonçant à un patient que quelque chose ne va pas, mais refusant de préciser la gravité, l'organe concerné, ou le plan de traitement. « N'hésitez pas à nous envoyer un e-mail si vous souhaitez en savoir plus. » C'est exactement ce que ressentent les milliers d'organisations qui s'appuyaient sur le NVD comme source première et faisant autorité pour prioriser leurs correctifs.

Les petites et moyennes entreprises, sans centre des opérations de sécurité dédié ni abonnements coûteux à des services de renseignement sur les menaces, sont les plus durement touchées. Elles s'appuyaient sur le NVD comme ancrage gratuit. Cet ancrage vient de se détacher.

Le gouvernement d'abord, et les autres alors ?

Le second problème touche une différence fondamentale entre la réalité numérique des agences gouvernementales et celle des entreprises et des particuliers. Les priorités du NIST ont du sens du point de vue de la sécurité nationale : on protège d'abord les infrastructures critiques de l'État. Mais les environnements logiciels d'un prestataire de soins de santé, d'une entreprise manufacturière ou d'une petite entreprise ne ressemblent guère au paysage informatique du gouvernement fédéral américain.

Microsoft 365, Google Workspace, des plateformes CRM largement utilisées, des systèmes de contrôle industriel dans le secteur manufacturier, bon nombre de ces éléments ne relèvent pas de la définition de « logiciel critique » telle que définie dans l'Executive Order 14028. Une vulnérabilité dans une application cloud largement déployée et utilisée par des PME pourrait rester non traitée dans la catégorie « Not Scheduled » pendant des mois, alors que des attaquants l'exploitent déjà activement.

Michelangelo Sidagni, CTO chez NopSec, l'a formulé avec justesse : le NIST délègue en fait la priorisation à la CISA, mais le catalogue KEV de la CISA est délibérément prudent. Une analyse comparative montre que le KEV répertorie actuellement 1 559 vulnérabilités, tandis que VulnDB en suit plus de 7 000 avec une exploitation connue. Des milliers de failles dangereuses échappent donc à la fois au KEV et au nouveau processus d'enrichissement du NVD. Pour un attaquant, cette distinction n'a aucune importance.

La fin d'une source unique de vérité

Le contexte plus large approfondit cette inquiétude. Le programme CVE géré par MITRE, le fondement même sur lequel repose le NVD, a échappé de justesse à l'effondrement l'an dernier lorsque son contrat de financement fédéral était sur le point d'expirer. La CISA est intervenue au dernier moment, mais la fragilité de cette infrastructure a été mise au jour. Parallèlement, l'UE développe sa propre European Vulnerability Database (EUVD), bien qu'elle en soit encore à ses débuts. Et la croissance explosive de la découverte de vulnérabilités pilotée par l'IA, le FIRST prévoit un record de 50 000 nouveaux CVE en 2026, promet d'aggraver considérablement la situation.

L'ère d'une source unique, fiable et publique de vérité pour l'information sur les vulnérabilités est définitivement révolue. Les organisations qui ne l'avaient pas encore compris sont désormais confrontées directement à cette réalité.

Que faut-il faire ?

La critique adressée au NIST est justifiée, mais en toute réalité, l'agence avait peu de choix. Avec des soumissions qui battent de nouveaux records chaque trimestre et une capacité d'analyse fondamentalement incapable de suivre le rythme, un changement de cap était inévitable. La direction prise, prioriser en fonction du risque réel, est en principe la bonne.

Mais la mise en œuvre doit être affinée. Premièrement, les critères de priorisation sont trop étroitement centrés sur le contexte gouvernemental. Une définition plus large de « fort impact », qui tiendrait également compte de la prévalence dans les logiciels commerciaux, refléterait mieux la réalité du secteur privé. Deuxièmement, le modèle « envoyez-nous un e-mail si vous souhaitez un enrichissement » n'est pas évolutif et crée des inégalités. Les grandes organisations savent comment et où faire valoir leur cas ; les plus petites, non.

Troisièmement, et peut-être le plus urgent : le secteur doit cesser de s'appuyer sur une seule base de données publique comme ligne de défense principale. Diversifier les sources, renseignement commercial sur les menaces, ISAC sectoriels, alternatives open source, n'est pas un luxe mais une nécessité. Les professionnels de la sécurité qui le savaient déjà navigueront cette transition. Les autres viennent de recevoir un signal d'alarme.

Le flot de données non pertinentes a toujours été le problème. Le NIST l'a désormais officiellement reconnu. La question est de savoir si la solution qu'il a choisie protège les bonnes personnes, ou seulement celles disposant des bons contrats gouvernementaux.

SOURCES

1. NIST, NVD Updates NVD Operations to Address Record CVE Growth (15 avril 2026)
2. Help Net Security, NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward (16 avril 2026)
3. CyberScoop, NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities (17 avril 2026)
4. Socket.dev, NIST Officially Stops Enriching Most CVEs as Vulnerability Volume Surges (avril 2026)
5. Infosecurity Magazine, NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities (avril 2026)
6. SecureWorld, The NVD Course Correction: Navigating NIST's Strategic Pivot for 2026 (avril 2026)
7. Dark Reading, NIST Revamps CVE Framework to Focus on High-Impact Vulnerabilities (avril 2026)
8. The Hacker News, NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions (avril 2026)