あなたのセキュリティ対策の死角がさらに広がりました

過去20年間、NVD（National Vulnerability Database）は、脆弱性管理の事実上の基盤としての役割を果たしてきました。スキャナー、SIEM、パッチ管理ツール、コンプライアンス・フレームワークなどはすべて、NVDにCVEが掲載されれば、NISTのアナリストが速やかに深刻度スコア、製品バージョンの対応表、および生のCVE IDを実際に有用なものにする文脈的なメタデータを追加するという前提に基づいていました。

2026年4月15日、その前提は公式に信頼性を失った。

NISTは、NVDがリスクベースのエンリッチメントモデルに移行することを発表しました。 データベースに新規登録されるCVEのほとんどは、デフォルトではNISTによるCVSSスコアの付与、CPE製品マッピング、および独立した分析の対象外となる。脆弱性対応ワークフローをNVDの補足データに依存している組織にとって、これは現実的かつ深刻化するカバレッジの問題を引き起こす。そのデータをツールに組み込んでいるセキュリティ製品の開発者やベンダーにとっては、さらに切実な疑問が生じる。すなわち、「現在、フィードから得られる情報は一体何なのか？」という疑問である。

NIST自身の発表によると、CVEへの報告件数は2020年から2025年の間に263％増加し、2026年第1四半期の報告件数は、前年同期比ですでに3分の1近く増加している。

NISTは2025年に約4万2,000件のCVE情報を充実させ、これは過去どの年よりも45％増加した数値である。しかし、この生産性の向上は増加し続ける報告件数に対応するには不十分であり、その結果、正式なトリアージ制度が導入された。

2026年4月15日より、NISTは、CISAのKVE（既知の悪用済み脆弱性）カタログに掲載されている脆弱性、連邦政府が使用するソフトウェア、または大統領令14028号に基づき重要と指定されたソフトウェアに関連する脆弱性のみを詳細化します。それ以外の脆弱性はNVDに掲載されますが、NISTによる詳細化は行われず、直ちに処理されることはありません。

その結果、2026年3月1日より前に公開された約30万件の未処理CVEが、一括して「未予定」カテゴリに移行されました。

今後、NISTの優先度基準に該当しないCVEについては、深刻度スコアは、NISTによる独立した分析ではなく、CVE番号付与機関（多くの場合、影響を受けるソフトウェアのベンダー）が自己申告した値に基づいて決定されることになります。また、CVE番号付与機関がすでに深刻度スコアを提供している場合、NISTはその再計算を行わなくなります。

主要な脆弱性スキャナー、SIEMの相関ルール、サードパーティのリスクスコア、そしてPCI DSSからFedRAMPに至るまでのあらゆる規制コンプライアンスの枠組みは、すべてNVDのエンリッチメント・パイプラインに依存しています。

今回のアップデートにより、そのプロセスは正式に縮小されたため、潜在的に危険なCVEが危険なものとして分類されなかったり、適時に発見されなかったりする事態が生じかねない。

さらに理解しておくべき加速要因があります。それは、脅威の検知能力の低下が、AIを活用した脅威発見技術の急速な普及と相まって、事態を加速させているという点です。

高度なAIモデルやコーディングツールにより、アプリケーション内の悪用可能な脆弱性や複雑な攻撃経路を特定するためのハードルが大幅に下がり、CVEの公開件数が急増しています。2026年2月、インシデント対応・セキュリティチームフォーラム（FIRST）は、2026年に過去最多となる5万件のCVEが新たに報告されると予測しました。現在の情報補完インフラでは、これまでの品質水準を維持したまま、この膨大な量を処理することは困難です。

NVDの公式ドキュメントでは、製品識別はエンリッチメントの重要な要素であると説明されています。これは、ユーザーがプログラムを通じて、既知の脆弱性が自身の環境内の製品に影響を与えるかどうかを確認できるようにするためです。

CPEのマッピングが存在しない、不完全である、または遅延している場合、主にCPEの照合に依存するツールでは、一致を検出できないか、検出が遅れる可能性があります。

セキュリティ製品ベンダーは、その製品がCPE照合やCVE情報の充実化に依存していることが多いため、最も大きな影響を受ける分野の一つです。パッチ管理、エンドポイント保護、ネットワークアクセス制御、および資産管理ツールは、正確な脆弱性インテリジェンスに基づいて、どのシステムが影響を受けているか、問題の深刻度はどの程度か、そして次にどのような措置を講じるべきかを判断しています。

新しいセキュリティ製品を開発するチームにとって、NVDのみに依存して開発を開始することは、すでに重大な欠陥が存在する基盤の上に構築することになりかねません。具体的には、ゼロデイ脆弱性のカバー範囲が限定的であること、増加し続けるCVEに対する情報補完が不十分であること、そしてAIによる脆弱性の発見や悪用が急速に進むペースに追いつくのが困難な更新サイクルなどが挙げられます。

すでにパッチ適用や修正対応の機能を備えているチームにとって、リスクの性質は異なりますが、その重要性は変わりません。修正対応エンジンの有効性は、受け取る脆弱性インテリジェンスの質に左右されます。そのインテリジェンスが不完全であったり、遅延していたり、あるいはNVD由来の情報に過度に依存している場合、下流のワークフローでは影響を受ける製品を見落としたり、深刻度が不明な脆弱性の優先順位を下げたり、リスクが高まる前に対処できなかったりする恐れがあります。

もしそれらの製品がNVDの弱点を引き継ぐことになれば、その弱点は下流のすべての顧客にも引き継がれることになるだろう。

OESIS Framework Vulnerability Assessmentは、まさにこの課題を解決するために設計されました。つまり、セキュリティ製品チームが、NVDのエンリッチメント情報のみに依存することなく、脆弱性インテリジェンスを強化できるよう支援することを目的としています。

検出によって脆弱性が特定され、修正によってそれが解決されます。これらを組み合わせることで、リスクの連鎖を可能な限り断ち切ることができます。OESIS Vulnerability Assessmentは、検出と優先順位付けを担当します。OESISPatch Management、これら両方の機能を単一のフレームワークで利用したいチーム向けに提供されています：

• 検出対象： 脆弱性のあるアプリケーション、バージョンが一致するもの、OPSWAT 、およびKEVフラグが設定されたもの
• 優先順位付け： OPSWAT 、実際の攻撃の兆候に基づいて、何を優先的に修正すべきかを明らかにします
• 対応策： 既存のパイプラインでOESISの出力を処理することも可能です。あるいは、OESISPatch Management 、パッチの適用、バージョンの強制、またはアクセスのブロックを直接Patch Management 。
• 検証： OESISは、アクセスが復旧する前にエンドポイントがクリーンであることを確認するため、復旧後に再スキャンを行います

「検知のみ」では単なる報告に過ぎませんが、「検知と是正措置」があればリスクは解決されたことになります。OESISは、お客様の製品にこの両方を提供し、検知と是正措置のループをより迅速に完結させることで、AIのスピードに匹敵する脅威への対応を可能にします。