CVE Risk Prioritization: NIST Limits Detailed Analysis

2024年3月、米国国立標準技術研究所（NIST）は、受け取った3,370件のCVE記録のうち199件を分析した。CVE Programはすでに各脆弱性に共通の識別子を付与していた。

要点

CVE Programは2024年に40,000件超を記録し、累計は270,000件を超えた。
2024年3月、NISTは受け取った3,370件のCVEのうち199件を分析した。
2025年7月までに、25,000件超の脆弱性がNISTの分析待ちとなった。2017年に記録された従来の最高水準のおよそ10倍である。
2026年4月16日、NISTは詳細なNVD分析の対象を重要ソフトウェア、連邦システム、積極的に悪用されている脆弱性に限定した。
OpenAIによると、AI支援パイプラインはAPIコスト$1.2 millionで、Linuxのローカル権限昇格脆弱性948件を検証し、修正した。

CVE Programは識別子の付与を分散できる。しかしNIST、ベンダー、防御側はなお、不具合の検証、悪用状況の確立、露出したシステムの特定、修正の誘導、その修正が実際に適用されたかの確認に、限られた能力を割かなければならない。

CVE Programは、誰も解釈を拡張する前に命名を拡張した

CVE Programの共通識別子により、研究者、ベンダー、運用担当者は、競合する名称をすり合わせずに同じ脆弱性を指せる。MITREのプログラムは2025年までに分散型の報告システムとなっていた。CyberScoopは、413組織がエントリーを報告していると数えた。CVE Programは2024年に40,000件超を記録し、累計を270,000件超へと押し上げた。分散型の採番は、システムの破綻部分ではなく強みである。

識別子が示すのは、関係者がその不具合を議論できることだけだ。攻撃者が悪用できるか、特定の組織が影響を受けるコードを実行しているか、利用可能なパッチがその組織に届いているかは示さない。NISTのCVEエンリッチメントのワークフローには別の投入物が必要となる。記録が到着した後に費やす分析時間である。

その違いは2024年3月、数値として見えるようになった。NISTはその月に受け取った3,370件のCVEのうち199件を分析したが、省庁間の支援が不十分だと述べた。2024年の資金途絶後、バックログは膨らんだ。2025年7月までに、MIT Technology Reviewは25,000件超の脆弱性が分析待ちだと報じた。これは2017年の従来の最高水準のおよそ10倍である。どちらの数字も、CVEの採番が止まったことを示すものではない。だが両者を合わせれば、レジストリの成長が、すべてのエントリーを同じ速さで分析できることをもはや意味しなくなった理由が分かる。

NISTは分析上の注意配分をリスク判断にした

2026年4月、NISTはNational Vulnerability Databaseの詳細分析を絞り込んだ。対象は、重要ソフトウェア、連邦システム、または積極的な悪用に関わる不具合であり、CISAのKnown Exploited Vulnerabilitiesカタログのエントリーも含む。NISTは、これらの優先事項に当てはまらない脆弱性についても、詳細分析の要請を審査するとした。優先度の低い不具合がCVE IDを失うとも、例外的に分析を受けられないとも発表していない。

CISAはすでに、一つの運用上の区別を示していた。Known Exploited Vulnerabilitiesカタログは、悪用が確認されている不具合を特定し、連邦政府機関に対してカタログ掲載脆弱性を定められた期限内に修正するよう求める。CVEは不具合に名前を付ける。KEVへの掲載は、攻撃者による利用の証拠と、それらの機関に対する対応義務を加える。NISTの基準は、ソフトウェアの重要性や連邦システムでの利用など、注意を割くべき別の理由も加えている。

ただし、これらの基準にも判断の問題は残る。悪用が確認されていることは緊急性の強い証拠だが、KEVに掲載されていないことは、露出したシステムが安全だという証明にはならない。NISTの要請プロセスは、既定の分類で取りこぼすケースの余地を残している。提供された報道には、政策後の処理量、バックログ、パッチ適用に関する比較可能な結果はない。従って、NISTの選別によって重大な影響を伴う分析が速くなったかどうかは、まだ立証できない。

悪用の高速化は、未トリアージ記録の有効期間を縮める

Anthropicの研究者は、Mythos Previewモデルが公開済み脆弱性を数週間ではなく数時間で動作するエクスプロイトへ変えられると述べた。これは同モデルが実証した能力についての主張であり、すべての公開不具合における変換時間を測定したものではない。それでも、新たに公開され、到達可能な脆弱性に直面する防御側の判断は変わる。完全なデータベースエントリーが一律に整うのを待てば、システムのパッチ適用や隔離に使える時間の大半を消費しかねない。

防御側は二つのシグナルを分けて扱う必要がある。CISAのKEVカタログは既知の悪用を記録する。一方、モデルがエクスプロイトを生成できることは潜在的な速度を示すものであり、攻撃者がすでにそれを使っている証明ではない。逆に、ベンダーが修正を提供しても、運用者がそれを導入したことまでは示さない。有用なトリアージ判断では、どのシグナルが緊急対応を正当化したのか、どの証拠がなお欠けているのかを記録する。

AIは発見能力を高め、修正能力も試す

AnthropicとProject Glasswingのパートナーは、修正済みシステムの件数が同程度に増えないまま、候補件数がどれほど急増し得るかを示している。ReutersはAnthropicの数字として、2026年4月から10月に5,500件の検証済み脆弱性を発見したと報じた。Glasswingのパートナーは4月から7月に129,000件超の検出結果を報告し、そのうち33,000件超を重大または高深刻度と評価した。報告主体、期間、用語は異なる。提供された記録では、これらの集合がどの程度重なるのか、何件にCVEが付与されたのか、何件の修正が導入済みソフトウェアに届いたのかは分からない。

OpenAIは、自動化がキューを増やすだけだという考えに対する重要な反例を示す。同社は、Linuxのローカル権限昇格脆弱性948件を検証し修正したAI支援パイプラインを、APIコスト$1.2 millionで構築したと説明した。これは検出だけでなく、その下流の作業である。API料金はレビュー、統合、展開を含む完全な会計ではない。また、パッチが作られたことは、影響を受けるすべての運用者がそれを採用した証拠にはならない。

ベンダー、メンテナー、運用者は、この作業の異なる段階に費用を負担する。ベンダーは修正を公開できる一方で、影響を受けるインストールを見つけ、変更するコストは運用者が負う。重大な影響を伴う判断では、監査可能な人手のレビューが、なぜ検出結果を受け入れたのか、なぜあるシステムを優先したのか、誰が修正を確認したのかを残すべきである。自動化は調査の労力を減らせるが、説明責任を任意にはしない。

防御側が守れる単位はCVEではなく、露出したシステムである

SocketによるAxios npm compromiseの説明は、インベントリの問題を具体化する。攻撃者は、週あたり100 millionダウンロードを受けると報じられたパッケージの特定リリースに、悪意のある依存関係を混入させた。このダウンロード数は流通を示すものであり、侵害されたインストール数ではない。運用者は、自らのアプリケーションが実際にどのリリースを使っているかを知る必要があった。この事案は、セキュリティ業務をCVE記録だけで組織できない理由も示す。侵害されたパッケージリリースには、脆弱性識別子が出発点を与えるかどうかにかかわらず、導入環境での対応が必要となる。

もう一方の規模では、攻撃者がインターネット接続型冷蔵庫コントローラー3モデルの重大な不具合を悪用し、欧州のスーパーマーケットおよそ700店舗に影響するハッキングを行った。ClarotyとCISAはこれらのモデルの脆弱性に警告を出したが、影響を受けた店舗を規定したのは、導入・露出していたコントローラーだった。製品の識別、到達可能性、これらのコントローラーを交換または修理する能力が、必要な作業を決めた。

よくある質問

NISTは2024年3月に受け取ったCVEのうち、どの程度を分析したのか

NISTは同月に受け取った3,370件のCVEの約5.9%、すなわち199件を分析した。この計算は、その月に完了した分析を同月の受信記録と比較したものであり、バックログ全体を対象としたものではない。

NISTの新たな優先カテゴリー外での分析要請は、何件承認されたのか

提供された報道には、優先度の低い脆弱性についての要請、承認、却下の件数はない。NISTがそうした要請を審査するとしていることは述べられているが、この例外プロセスがどのように機能しているかは報じられていない。

NISTの2026年4月の優先順位付け政策は、バックログを減らすか、優先度の高い分析を速めたのか

提供された記録には、政策後の処理量、バックログ規模、パッチ採用に関する比較可能な数字はない。したがって、入手可能な証拠では、この政策が重大な影響を伴う脆弱性の結果を改善したかどうかはまだ示せない。

CISAのKnown Exploited Vulnerabilitiesカタログへの掲載は、影響を受ける製品を使うすべての組織が侵害されたことを意味するのか

いいえ。KEVエントリーは、ある脆弱性が悪用されたことが確認されていることを示す。ただし、露出したすべての導入環境を特定するものでも、特定の組織での侵害を証明するものでもない。運用者はなお、影響を受ける到達可能なバージョンを実行しているかを確認する必要がある。

カタログの成長からNVDの優先順位付けへ

2024年3月 — NISTは受け取った3,370件のCVEのうち199件を分析した。
2024年 — CVE Programは40,000件超を記録し、累計は270,000件を超えた。
2025年7月 — 25,000件超の脆弱性がNISTの分析待ちとなった。
2026年4月16日 — NISTは詳細なNVD分析の対象を重要ソフトウェア、連邦システム、積極的に悪用されている脆弱性に絞り込んだ。

ベンダーと運用者が、悪用の証拠、影響を受けるバージョンの詳細、修正状況を、開示から導入まで引き継げるなら、NISTはCVEレジストリを小さくするよう求めずに分析を集中できる。NISTはあの3月に3,370件の名前付き不具合を受け取った。露出したシステムを持つ運用者にとって、最後の確認事項は、それがなお脆弱なコードを実行しているかどうかである。