NIST NVD縮小時代における信頼できるCVE情報源

【なぜ重要か】 米国政府機関NISTが運営するNVDが処理能力の限界により脆弱性データベースとしての機能を大幅に縮小することを発表し、多くの組織が依存していたセキュリティ情報源の信頼性が損なわれることになります。日本の開発チームやセキュリティ担当者も、従来のCVEデータベースに依存した脆弱性管理手法の見直しが急務となっています。

【ポイント】

• NIST NVDは2024年2月から続く処理遅延により、CVE提出数が263%増加する一方で処理能力が追いつかず、米国政府関連やクリティカルソフトウェアのみを優先処理する「リスクベース」アプローチに方針転換
• CVEデータベースは公開された脆弱性のみをカバーするため、メンテナーが非公開で修正したセキュリティ問題は捕捉できず、実際の脆弱性の大部分を見逃すという根本的な限界が存在
• Aikido Intelは独自開発のLLMを活用してオープンソースパッケージのchangelog、リリースノート、コミットメッセージを解析し、公開されていない脆弱性を発見（初年度で発見した脆弱性の67%がいかなるデータベースにも未公開）
• EUは独自の脆弱性データベースEUVDを構築し、2026年9月からサイバーレジリエンス法により積極的に悪用される脆弱性の報告を義務化予定
• 単一のデータベースを「信頼できる唯一の情報源」として扱う時代は終了し、複数の情報源を組み合わせたアプローチが必要

【まとめ】 脆弱性管理において単一データベース依存からの脱却が必要であり、Aikido IntelのようなAGPLライセンスの多角的監視ツールを活用した包括的なセキュリティ戦略への移行を検討すべきです。