NIST sceglie la messa a fuoco, ma dimentica chi è davvero a rischio

Il nuovo approccio NVD del NIST è un passo logico per gestire l’ondata di CVE. Ma dando priorità al software governativo, il settore privato rischia di restare senza le informazioni di cui ha bisogno.

263% CRESCITA DELLE SEGNALAZIONI CVE DAL 2020 AL 2025

42.000 CVE ARRICCHITI NEL 2025, ANCORA NON ABBASTANZA

1% DI TUTTI I CVE EFFETTIVAMENTE SFRUTTATI NEL MONDO REALE

Sarebbe dovuto succedere molto tempo fa. Dopo anni di una marea crescente di divulgazioni di vulnerabilità, con un aumento del 263 percento nelle segnalazioni di CVE tra il 2020 e il 2025, il National Institute of Standards and Technology ha finalmente compiuto una mossa decisiva. Dal 15 aprile 2026, il NIST arricchirà solo i CVE che soddisfano criteri di prioritizzazione specifici: le vulnerabilità elencate nel catalogo Known Exploited Vulnerabilities (KEV) della CISA, il software utilizzato all’interno del governo federale statunitense e i sistemi designati come critici ai sensi dell’Executive Order 14028. Tutte le altre segnalazioni compariranno comunque nel National Vulnerability Database (NVD), ma saranno etichettate come “Not Scheduled”. È linguaggio burocratico per dire: non trattenere il respiro.

Come professionista della sicurezza, capisco la logica. Il nostro settore ha sofferto a lungo di quello che chiamo “sovraccarico segnale-rumore”: una valanga di dati da analizzare, la stragrande maggioranza dei quali non ha alcuna rilevanza diretta per i sistemi che effettivamente proteggiamo. Una ricerca di VulnCheck ha mostrato che delle oltre 40.000 vulnerabilità appena pubblicate e catalogate l’anno scorso, solo l’1 percento, appena 422 CVE, era attivamente sfruttato nel mondo reale. Concentrarsi su ciò che conta davvero è quindi del tutto difendibile.

“Le vulnerabilità vengono pubblicate, ma non prioritizzate. Questo non rende la vita più facile ai difensori.”

Eppure c’è qualcosa che non va. In modo piuttosto fondamentale.

Il paradosso della trasparenza senza contesto

Il NIST ha scelto di continuare a pubblicare tutti i CVE, ma non li arricchirà più di routine con punteggi CVSS, configurazioni software interessate o contesto aggiuntivo. Il risultato è un terreno di mezzo scomodo: le vulnerabilità vengono divulgate, ma senza le indicazioni di cui i team di sicurezza hanno bisogno per sapere cosa farne. È trasparenza nella sua forma più vuota.

Immagina un medico che dice a un paziente che qualcosa non va, ma si rifiuta di dire quanto sia grave, quale organo sia colpito o come sia il piano di trattamento. “Sentiti libero di scriverci un’e-mail se vuoi saperne di più.” È esattamente così che questo appare alle migliaia di organizzazioni che si affidavano all’NVD come fonte primaria e autorevole per la prioritizzazione delle patch.

Le piccole e medie imprese, senza un centro operativo di sicurezza dedicato o costosi abbonamenti di threat intelligence, sono le più colpite. Dipendevano dall’NVD come àncora gratuita. Quell’àncora si è ora staccata.

Prima il governo, e tutti gli altri?

Il secondo problema colpisce una differenza fondamentale tra la realtà digitale delle agenzie governative e quella delle aziende e dei privati. Le priorità del NIST hanno senso da una prospettiva di sicurezza nazionale: proteggi prima le infrastrutture statali critiche. Ma gli ambienti software di un fornitore sanitario, di un’azienda manifatturiera o di una piccola impresa hanno poco a che vedere con il panorama IT del governo federale statunitense.

Microsoft 365, Google Workspace, piattaforme CRM ampiamente utilizzate, sistemi di controllo industriale nella manifattura, molti di questi non rientrano nella definizione di “software critico” come definito nell’Executive Order 14028. Una vulnerabilità in un’applicazione cloud ampiamente diffusa e usata dalle PMI potrebbe restare intatta nella categoria “Not Scheduled” per mesi, mentre gli aggressori la stanno già sfruttando attivamente.

Michelangelo Sidagni, CTO di NopSec, l’ha detto bene: il NIST sta di fatto delegando la prioritizzazione alla CISA, ma il catalogo KEV della CISA è deliberatamente conservativo. Un’analisi comparativa mostra che KEV elenca attualmente 1.559 vulnerabilità, mentre VulnDB ne traccia oltre 7.000 con sfruttamento noto. Migliaia di falle pericolose cadono quindi al di fuori sia di KEV sia del nuovo processo di arricchimento dell’NVD. Per un aggressore, quella distinzione è irrilevante.

La fine di un’unica fonte di verità

Il contesto più ampio aggrava la preoccupazione. Il CVE Programme gestito da MITRE, proprio la base su cui è costruito l’NVD, è sfuggito per un soffio al collasso l’anno scorso, quando il suo contratto di finanziamento federale stava per scadere. La CISA è intervenuta all’ultimo momento, ma la fragilità di questa infrastruttura è stata messa a nudo. Nel frattempo, l’UE sta sviluppando il proprio European Vulnerability Database (EUVD), anche se è ancora nelle fasi iniziali. E la crescita esplosiva nella scoperta di vulnerabilità guidata dall’IA, FIRST prevede un record di 50.000 nuovi CVE nel 2026, promette di peggiorare notevolmente le cose.

L’era di un’unica fonte di verità pubblica e affidabile per le informazioni sulle vulnerabilità è definitivamente finita. Le organizzazioni che non l’avevano ancora capito si trovano ora di fronte a questa realtà a viso aperto.

Cosa deve succedere?

Le critiche al NIST sono giustificate, ma realisticamente l’agenzia aveva poca scelta. Con le segnalazioni che battono nuovi record ogni trimestre e la capacità analitica fondamentalmente incapace di tenere il passo, un cambio di rotta era inevitabile. La direzione, prioritizzare in base al rischio reale, è in linea di principio quella giusta.

Ma l’attuazione ha bisogno di essere affinata. Primo: i criteri di prioritizzazione sono troppo strettamente focalizzati sul contesto governativo. Una definizione più ampia di “alto impatto”, che tenga conto anche della diffusione nel software commerciale, rifletterebbe meglio la realtà del settore privato. Secondo: il modello “scrivici un’e-mail se vuoi l’arricchimento” è non scalabile e crea disuguaglianza. Le organizzazioni più grandi sanno come e dove far valere le proprie ragioni; quelle più piccole no.

Terzo, e forse più urgente: il settore deve smettere di affidarsi a un’unica banca dati pubblica come sua principale linea di difesa. Diversificare le fonti, threat intelligence commerciale, ISAC specifici per settore, alternative open-source, non è un lusso ma una necessità. I professionisti della sicurezza che lo sapevano già navigheranno questa transizione. Gli altri hanno appena ricevuto una sveglia.

Il diluvio di dati irrilevanti è sempre stato il problema. Il NIST ora lo ha ufficialmente riconosciuto. La domanda è se la soluzione che ha scelto protegga le persone giuste, o solo quelle con i giusti contratti governativi.

FONTI

1. NIST, NVD Updates NVD Operations to Address Record CVE Growth (15 aprile 2026)
2. Help Net Security, NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward (16 aprile 2026)
3. CyberScoop, NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities (17 aprile 2026)
4. Socket.dev, NIST Officially Stops Enriching Most CVEs as Vulnerability Volume Surges (aprile 2026)
5. Infosecurity Magazine, NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities (aprile 2026)
6. SecureWorld, The NVD Course Correction: Navigating NIST’s Strategic Pivot for 2026 (aprile 2026)
7. Dark Reading, NIST Revamps CVE Framework to Focus on High-Impact Vulnerabilities (aprile 2026)
8. The Hacker News, NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions (aprile 2026)