NVDがCVSSの自前採点を絞る：慌てる話なのか

2026年4月、米国 NIST が運営する NVD（National Vulnerability Database）が運用を変えました。悪用が確認された脆弱性などを優先し、それ以外の大多数には自前で深刻度スコア（CVSS）を付けない、という方針です。

「スコアを見て対応してきたのに、スコアが消える」と聞こえますが、中身を見ると話が違います。順に見ていきましょう。

01 / 採点をやめたのではなく、優先の付け方を変えた

発表をよく読むと、優先して採点する対象が3つ挙がっています。先頭にあるのは、実際に悪用が確認されている脆弱性です。

図1：優先して採点する 3 つの対象（NIST の発表）

深掘り：いま危ないものから手厚くする、という並べ替え

KEV に載った脆弱性は1営業日以内の採点が目標に置かれています。つまり全体を薄く均等に採点する運用から、危ないものへ資源を寄せる運用へ切り替えた、という変更です。理由は CVE の数が増え続けていることで、規模の感覚はCVSS・EPSS・KEV の記事に実測を載せています。

これまで CVE 全体の CVSS は主に NVD が付けてきましたが、その役割を縮小し、CVE 番号を採番する組織が付けたスコアに委ねる方針へ変えました。その多くは製品ベンダーです。

図2：付ける主体が変わっただけで、スコアが消えるわけではない

深掘り：重複しては付けない、と明言している

NIST 自身が、採番組織が既にスコアを付けた CVE には重複して自前スコアを付けない、と発表の中で述べています。スコアが付かなくなるのは、主にインパクトの薄い裾野のほうです。

日本や欧州のデータベースを足せば補えると考えたくなりますが、増えているのは発見と報告の件数そのものです。参照先を増やしても、採点しきれない総量は変わりません。

図3：問題は供給源の数ではない

深掘り：混ぜると、かえって扱いにくくなる

供給源ごとに採点の粒度も更新の間隔も違うので、単純に足し合わせると精度と鮮度がばらつきます。数を増やすより、手元に来たスコアをどう使うかを設計するほうが効きます。

CVSS は悪用されたときの危険さを教えてくれますが、そこまでです。悪用確率も、悪用の実績も、資産の重さも足して、なお分かるのは理論上の危険さにとどまります。

図4：組み合わせても、理論値の手前で止まる

深掘り：入口に使う信号

悪用確率はEPSS、悪用の実績はKEV、資産の重さは業務インパクトスコアが受け持ちます。この組み合わせで並べたものがTER バンドです。

全部を実証すると手間もコストも合わず、下手に攻撃を再現すれば資産を止めてしまいます。だから確かめるのは、並べた上位だけです。遠隔から、非破壊で行います。

図5：並べてから、上位だけを裏取りする

深掘り：あえて実証しないものがある

下位に沈んだものと、遠隔かつ非破壊では確かめられないもの（破壊的な操作が要る、資格情報の先にある）は、実証の対象から外します。資源を刺さる見込みの高いほうへ寄せるための線引きで、仕組みはAIで脆弱性を検証するで扱いました。

自社の攻撃面がスコアで正しく並び、上位が非破壊の実証で裏取りされているかは、14日間無料で確かめられます。

付録：発表の中身と、実証の線引き

表1：本文で引用した内容と出所

内容	出所
優先して採点する3つの対象と、KEV 掲載分の1営業日以内という目標	NIST の発表（2026年4月）
採番組織が付けたスコアへ委ね、重複しては付けない方針	同上
自前採点が細るなかでも、2025年の CVSS カバー率は9割超	民間調査会社の集計にもとづく数字で、公開されたリンクは示されていません

表2：実証する／しないの線引き

扱い	対象
実証する	スコアと信号で並べた上位で、遠隔かつ非破壊で確かめられるもの
実証しない	下位に沈んだもの
実証しない	破壊的な操作が要るもの、資格情報の先にあるもの

表3：実証したあとの扱い

結果	そのあと
攻撃成立	優先度をさらに上げる
攻撃未成立	経過観察へ回す

能動的に確かめる工程である以上、有効にするかはお客様が決め、実行はいつでも一時停止と再開ができます。

スコアの空白に慌てて別の場所を探し回る必要はありません。重要なものにはスコアが付くので、入口として正しく使い、その先を資産を壊さずに実証する規律のほうが効きます。