فيما يتعلق بالتراكم الكبير لـ CVEs غير المعززة التي بدأت في التطور قبل عامين، ذكرت NIST أنها لم تكن قادرة على مسح هذا الأمر، وبالتالي سيتم نقل جميع CVEs المتراكمة التي لها تاريخ نشر NVD قبل 1 مارس 2026 إلى فئة “غير مجدولة”. سيتم النظر في عمليات التطرف العنيف التي تندرج في هذه المجموعة من أجل الإثراء بشرط أن تستوفي معايير الأولويات الجديدة.

أخيرًا، تقوم NIST بتحديث تسميات وأوصاف حالة CVE، وإجراء تغييرات على لوحة معلومات NVD للإبلاغ عنها بدقة.

وقالت المنظمة إنها أدركت أنها تجري تغييرات كبيرة من شأنها أن تؤثر على المستخدمين العاديين، ومع ذلك، كررت التأكيد على أن اعتماد نهج قائم على المخاطر أمر ضروري لإدارة الزيادة في الطلبات المقدمة وكسب الوقت لبناء أنظمة جديدة تضمن استدامة عروضها في المستقبل.

وقال دانيس كالديرون، المدير والرئيس التنفيذي للتكنولوجيا في Suzu Labs، إن NIST ربما اتخذت القرار الصحيح.

قال كالديرون: “كانت هناك حاجة بالتأكيد إلى إصلاح شامل وربما لا مفر منه نظرًا لحجم عمليات الإرسال الجديدة لمكافحة التطرف العنيف، ونعتقد أن الاكتشاف بمساعدة الذكاء الاصطناعي ربما يدفع هذا الرقم بالفعل إلى الأعلى. بعد كل شيء، حصلت Microsoft للتو على ثاني أكبر تصحيح يوم الثلاثاء على الإطلاق، وحتى شركة ZDI تقول إن عمليات الإرسال الواردة تضاعفت ثلاث مرات بفضل أدوات الذكاء الاصطناعي”.

“نحن متحمسون لرؤية NIST تجعل Kev على رأس أولوياتها. هذا هو القرار الصحيح وهو شيء كنا نفعله مع عملائنا منذ بعض الوقت، لذلك نحن سعداء جدًا برؤية هذا يصبح النموذج الرسمي.”

ومع ذلك، انتقد كالديرون بعض الثغرات الملحوظة في منهجية NIST الجديدة، وتحديدًا إنهاء تسجيل نقاط CVE عندما تكون السلطة المقدمة قد سجلتها بالفعل.

وقال: “يبدو هذا فعالاً حتى تتذكر أن الجهة المقدمة للخدمة هي في الغالب البائع، ولا يقوم البائعون دائمًا بتصحيح الأخطاء الخاصة بهم”. “لقد مررنا بهذا للتو مع F5. تم تسجيل ثغرة أمنية حديثة في BIG-IP بدرجة 8.7 عالية كمشكلة رفض الخدمة لمدة خمسة أشهر قبل أن يتم إعادة تصنيفها على أنها 9.8 RCE. بالنسبة للمؤسسات التي تستخدم CVSS لدفع أولوية التصحيح، فإن هذا التصنيف الخاطئ يعني أن الخطر الحقيقي كان في قائمة الانتظار الخاطئة لمدة خمسة أشهر بينما كان المهاجمون يستغلونها بالفعل.”

“الشيء الآخر المفقود هنا هو أن NIST عالج مشكلة حجم المعالجة لكنه لم يمس منهجية التسجيل. ولا يزال نظام CVSS يسجل نقاط الضعف بشكل منفصل. وهو لا يمثل نموذجًا للتسلسل، حيث يجمع المهاجم بين الكشف عن معلومات متوسطة الخطورة وتصعيد الامتيازات متوسطة الخطورة وينتهي الأمر بتأثير حرج. ولا تسجل أي من الأخطاء درجة عاجلة من تلقاء نفسها، ولكنها معًا تمنحك تسوية كاملة للنظام.”

قال كالديرون إنه بالنسبة لقادة الأمن الذين اعتمدوا على NVD كنقطة مرجعية لسياق الثغرات الأمنية، فقد كان الوقت قريبًا لبناء مجموعة أولويات خاصة بهم. يمكن أن يتضمن ذلك بيانات من كتالوج Cisa’s Kev، ومعلومات نظام تسجيل نقاط الاستغلال (EPSS)، والسياق البيئي الخاص بالمنظمة.

وأشار إلى أن “أيام انتظار NIST لإخبارك بما يهم قد انتهت”.