美国国家标准与技术研究院(NIST)宣布将缩减国家漏洞数据库(NVD)的更新范围，仅对影响政府网络安全的关键漏洞进行数据补充，以应对漏洞数量激增带来的维护压力。这一政策调整意味着大部分CVE漏洞将不再获得NIST的详细分析。

美国国家标准与技术研究院（NIST）调整漏洞数据库策略：仅重点标注高危漏洞

核心内容

美国国家标准与技术研究院（NIST）于4月15日宣布，将大幅缩减其国家漏洞数据库（NVD）的漏洞信息标注（即“丰富化”处理）范围，仅针对三类关键漏洞进行详细补充：
1. CISA已知被利用漏洞（KEV）清单中的条目；
2. 美国联邦机构使用的软件中的漏洞；
3. 被定义为“关键软件”的漏洞（涵盖操作系统、浏览器、防火墙、VPN等核心基础设施，具体清单可参考PDF文件）。

背景与原因

• 积压问题：自2024年初起，NIST因漏洞数量激增（2025年超4.8万条CVE）及预算削减（特朗普政府缩减国土安全部相关经费），导致未处理漏洞从2,100余条飙升至年底的3万条，至今仍有数万条未完成标注。
• AI加剧挑战：随着AI漏洞扫描工具的普及，未来漏洞数量可能进一步爆炸性增长，人工处理难以为继。

行业影响

• 漏洞管理公司受冲击：许多企业依赖NVD数据构建扫描工具和仪表盘，未来需自行补充数据或寻找替代来源（如MITRE、欧盟漏洞数据库EUVD）。
• CVSS评分争议：NIST将不再自行评估漏洞严重性，转而直接显示CVE发布方提供的初始评分。此举可能引发厂商刻意压低自身漏洞评分的风险，长期存在行业争议。

其他安全动态摘要

1. 网络攻击事件

   • 俄罗斯黑客组织APT28入侵乌克兰170余名检察官邮箱，并渗透希腊、罗马尼亚军方系统；
   • 瑞典热电厂遭亲俄黑客组织攻击，被内置安全机制拦截；
   • 加密货币交易所Grinex因1.3亿美元资产被盗关闭，被指为受制裁平台Garantex的马甲。

2. 技术更新

   • OpenAI推出专用网络安全模型GPT-5.4-Cyber，支持逆向工程等研究；
   • 安卓新增一次性权限授予功能，限制应用持续获取联系人及定位数据；
   • 全球IPv6流量首次突破50%，IPv8协议提案兼容旧IPv4地址。

3. 漏洞与恶意软件

   • 朝鲜APT组织Sapphire Sleet针对macOS适配“虚假Zoom更新”攻击链；
   • 新型勒索软件PowMix在捷克测试传播，物联网恶意软件Mozi、Mirai在俄罗斯托管大量C2服务器。

观点摘录

安全公司Aikido指出：“单一漏洞真相源时代终结。NVD优先级调整、EUVD尚未成熟，依赖单一数据库意味着覆盖率和可见性下降。”（完整分析）

本文为Risky Bulletin新闻简报节选，完整内容涵盖更多安全事件、政策动态及技术报告。

以下是评论内容的总结：

1. 支持NIST改革的观点

   • 认为NIST的漏洞数据库更新是迟来的改进（"Long overdue to be honest" - DeepYogurt）。
   • 指出NIST过去提供的漏洞严重性数据质量差，供应商自行提供CVSS评分影响有限（"The NVD was an absolutely wretched source...it continues the farce of CVSS" - tptacek）。

2. 质疑NIST改革的观点

   • 担心NIST只关注重要漏洞会导致其作用大幅削弱（"what is the point of an organisation that is cut down to handle 1% of CVEs?" - shevy-java）。
   • 质疑NIST近年来的实际贡献（"I don't see much enrichment they are giving in last 5 or 6 years" - j16sdiz）。

3. 关于漏洞评分的讨论

   • 认为外部机构难以准确评估所有软件的漏洞（"it may be very hard for an external body to issue proper scoring" - smsm42）。
   • 指出漏洞评分可能被软件厂商低估（"companies are extremely likely to issue low severity scores" - smsm42）。

4. 其他相关讨论

   • 提到NIST预算削减可能影响其工作（"connection with the numerous budget cuts from this admin" - khalic）。
   • 指出漏洞数据库的关键信息是CPE（受影响软件）（"CPE is kind of critical" - dlor）。
   • 抱怨大量低质量漏洞报告的问题（"There seems to be a lot of pressure for people to get status by claiming they broke some old open source project" - strenholme）。

5. 替代方案建议

   • 有人建议使用UUID替代现有系统（"Maybe we should just assign UUIDs" - Retr0id）。
   • 询问是否有其他类似数据库存在（"are there alternative lists like this?" - RandomTeaParty）。