Le NVD face à une vague de vulnérabilités sans précédent
La National Vulnerability Database (NVD) du NIST, pierre angulaire de la gestion des vulnérabilités dans le monde entier, traverse une crise majeure. Confronté à une hausse de 263 % des soumissions de CVE, le programme a annoncé qu’il limiterait désormais l’enrichissement des fiches de vulnérabilité. Pour les équipes de sécurité qui s’appuient sur le NVD au quotidien, c’est un signal d’alarme qu’il convient d’analyser en profondeur.
Pourquoi le NVD est au bord de la rupture
Depuis sa création, le NVD centralise les données de vulnérabilités publiées sous identifiant CVE : scores CVSS, vecteurs d’attaque, produits concernés, références aux correctifs. C’est cette couche d’enrichissement qui transforme un simple identifiant en information exploitable par les scanners, les SIEM et les processus de patch management.
Or, le volume de CVE soumises a explosé. Plusieurs facteurs convergent :
- Prolifération des CNA (CVE Numbering Authorities) : davantage d’organisations attribuent désormais leurs propres identifiants, ce qui accélère la publication sans que le NIST puisse suivre.
- Complexité logicielle croissante : la surface d’attaque s’étend avec l’adoption massive du cloud, des conteneurs, de l’IA et des dépendances open source.
- Découverte assistée par l’IA : des projets comme Mythos et les outils de fuzzing automatisé génèrent un flux continu de nouvelles failles, dépassant la capacité humaine d’analyse.
- Budget fédéral contraint : le financement du programme n’a pas suivi l’augmentation du volume, créant un goulet d’étranglement structurel.
Ce que le NIST limite concrètement
Face à l’afflux, le NIST a décidé de prioriser l’enrichissement des CVE les plus critiques et de réduire la couverture des vulnérabilités jugées mineures ou sans exploit connu. Concrètement, cela signifie :
- Des délais d’enrichissement allongés pour les CVE de sévérité faible à moyenne.
- Certaines fiches resteront au statut « Awaiting Analysis » pendant des semaines, voire des mois.
- Les équipes ne pourront plus compter sur le NVD comme source unique et exhaustive pour leur gestion des vulnérabilités.
Cette situation n’est pas sans rappeler la crise du NVD de 2024, lorsque le programme avait déjà accumulé un retard considérable. La différence aujourd’hui, c’est que le volume a franchi un seuil structurel.
Impact concret sur les équipes de sécurité
Pour les RSSI et les analystes SOC, les conséquences sont directes :
- Fenêtre d’exposition élargie : sans score CVSS rapide, la priorisation des correctifs ralentit. Des vulnérabilités comme la récente CVE-2026-34197 dans Apache ActiveMQ, ajoutée au catalogue KEV du CISA alors qu’elle est activement exploitée, montrent l’importance d’un enrichissement rapide.
- Dépendance aux outils commerciaux : les organisations devront s’appuyer davantage sur des bases alternatives (OSV, GitHub Advisory Database, VulnCheck) ou sur des flux de threat intelligence payants.
- Risque de faux sentiment de sécurité : un scan qui ne remonte rien parce que la CVE n’est pas encore enrichie ne signifie pas que le système est sûr.
Le cas des environnements OT et ICS
La situation est encore plus préoccupante pour les systèmes industriels. Les vulnérabilités OT sont souvent moins documentées, et un retard d’enrichissement peut laisser des infrastructures critiques — stations d’eau, réseaux électriques — exposées pendant des semaines. L’alerte conjointe CISA/FBI/NSA/EPA publiée cette semaine sur les menaces ICS dans le secteur de l’eau illustre parfaitement cette urgence.
Stratégies d’adaptation pour les défenseurs
Plutôt que de subir passivement la surcharge du NVD, les équipes de sécurité peuvent adopter plusieurs approches :
- Diversifier les sources de vulnérabilités : combiner le NVD avec OSV.dev, la GitHub Advisory Database, les bulletins CERT-FR et les flux Wazuh pour une couverture complète.
- Adopter le SSVC (Stakeholder-Specific Vulnerability Categorization) : ce framework du CISA permet de prioriser les vulnérabilités selon l’exploitation active et l’impact métier, indépendamment du score CVSS.
- Automatiser la veille : des pipelines de détection qui interrogent directement les CNA, les feeds Atom du CISA KEV et les dépôts de sécurité réduisent la dépendance au NVD.
- Monitorer le statut KEV : le catalogue Known Exploited Vulnerabilities du CISA reste la référence pour les failles activement exploitées, avec des délais de publication bien plus courts que le NVD.
Un écosystème CVE en mutation
Cette crise du NVD s’inscrit dans une transformation plus large de l’écosystème CVE. Le programme CVE lui-même, géré par MITRE, a récemment frôlé l’interruption de financement. En parallèle, des initiatives comme le Global CVE Allocation System et les bases communautaires tentent de décentraliser l’effort.
L’enjeu est clair : le modèle centralisé qui a servi la communauté pendant deux décennies ne suffit plus face au volume actuel. Les organisations qui anticipent cette transition — en diversifiant leurs sources, en automatisant leurs processus et en adoptant des frameworks de priorisation modernes — seront les mieux armées pour maintenir leur posture de sécurité.