Le National Institute of Standards and Technology (NIST) a annoncé un changement majeur dans la gestion des vulnérabilités : l’organisme ne fournira plus systématiquement de notes de gravité et d’analyses détaillées pour les failles jugées non prioritaires. Cette décision intervient face à une hausse massive du volume de CVE ces dernières années.
À partir du 15 avril 2026, la National Vulnerability Database (NVD), gérée par le NIST, continuera d’enregistrer toutes les vulnérabilités soumises, mais réservera ses enrichissements détaillés aux cas les plus critiques.
Une explosion du nombre de failles déclarées
Le NIST explique que les soumissions de vulnérabilités ont augmenté de 263 % entre 2020 et 2025, avec une accélération supplémentaire en 2026. Malgré l’enrichissement de près de 42 000 CVE en 2025, l’agence reconnaît ne plus pouvoir suivre le rythme actuel.
Cette situation reflète la croissance du numérique mondial : plus de logiciels, plus de composants open source, plus de surface d’attaque… et donc plus de vulnérabilités découvertes.
Quelles failles resteront prioritaires
Le NIST concentrera désormais ses ressources sur les vulnérabilités qui répondent à au moins un des critères suivants :
- présentes dans le catalogue KEV de Cybersecurity and Infrastructure Security Agency
- affectant des logiciels utilisés par le gouvernement fédéral américain
- touchant des logiciels critiques définis par l’Executive Order 14028
Les autres vulnérabilités seront toujours visibles dans la base, mais marquées comme Not Scheduled, sans analyse détaillée automatique.
Un impact direct pour les entreprises
Cette décision pourrait compliquer le travail des équipes cybersécurité, car beaucoup d’organisations s’appuient sur la NVD pour :
- prioriser les correctifs
- évaluer la gravité d’une faille
- identifier les produits affectés
- suivre les recommandations officielles
Sans enrichissement systématique, certaines entreprises devront renforcer leurs propres capacités d’analyse ou s’appuyer sur des fournisseurs tiers.
🌍 Pourquoi cela change le paysage cyber mondial
La base NVD est utilisée internationalement par :
- chercheurs en sécurité
- éditeurs logiciels
- RSSI et équipes SOC
- administrations publiques
- médias spécialisés
Un ralentissement ou une priorisation plus stricte peut donc avoir des répercussions bien au-delà des États-Unis. Les PME, en particulier, risquent de manquer de ressources pour analyser seules certaines failles.
Comment s’adapter à cette nouvelle réalité
Les organisations devraient envisager :
- diversifier leurs sources de threat intelligence
- utiliser des scanners avec scoring propriétaire
- renforcer la gestion interne des vulnérabilités
- surveiller les exploits réellement actifs
- prioriser selon le contexte métier, pas seulement le score CVSS
Un signal fort sur la surcharge cyber mondiale
Cette décision montre que même les institutions de référence peinent à suivre le rythme de la cybersécurité moderne. Le volume des vulnérabilités dépasse désormais les capacités d’analyse manuelle traditionnelles, ce qui renforce l’intérêt de l’automatisation et de l’intelligence artificielle. M
Source : Bleepingcomputer.com
