موسسه ملی استانداردها و فناوری (NIST) اعلام کرد که از ۱۵ آوریل، دیگر برای آسیب‌پذیری‌های کم‌اولویت امتیاز شدت (severity score) تعیین نخواهد کرد. پایگاه داده ملی آسیب‌پذیری‌ها (NVD) همچنان تمامی آسیب‌پذیری‌های ثبت‌شده را فهرست می‌کند، اما تحلیل تکمیلی تنها برای مواردی انجام می‌شود که در یکی از سه دسته قرار گیرند: آسیب‌پذیری‌های موجود در فهرست آسیب‌پذیری‌های بهره‌برداری‌شده شناخته‌شده (KEV) آژانس امنیت سایبری آمریکا (CISA)، مواردی که نرم‌افزارهای دولت فدرال ایالات متحده را تحت تأثیر قرار می‌دهند، و نرم‌افزارهای حیاتی مطابق با دستور اجرایی ۱۴۰۲۸.
این تصمیم در پی افزایش ۲۶۳ درصدی حجم ارسال آسیب‌پذیری‌ها اتخاذ شده است؛ NIST در سال ۲۰۲۵ حدود ۴۲ هزار شناسه CVE را غنی‌سازی کرد، اما دیگر قادر به پاسخگویی به حجم رو به رشد درخواست‌ها نیست. آسیب‌پذیری‌هایی که معیارهای فوق را برآورده نکنند با وضعیت «زمان‌بندی‌نشده» (Not Scheduled) دسته‌بندی می‌شوند و امتیاز شدت آن‌ها تنها از سوی مرجع شماره‌گذاری CVE (CNA) ارائه‌دهنده ارائه خواهد شد. NIST پذیرفته که این رویکرد ممکن است برخی آسیب‌پذیری‌های پرتأثیر را از قلم بیندازد و برای همین، امکان درخواست غنی‌سازی از طریق ایمیل [email protected] را فراهم کرده است.
کلمات کلیدی : آسیب‌پذیری‌های امنیتی, پایگاه داده NVD, امتیاز شدت CVE, NIST استانداردها, فهرست KEV سایبری, غنی‌سازی آسیب‌پذیری‌ها
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.