A NIST visszavág: kizárólag a legveszélyesebb biztonsági hibákra fókuszál

Az elmúlt években hatalmas, 263%-os növekedés történt a szoftverek sérülékenységi bejelentéseiben, ezért az amerikai Nemzeti Szabványügyi és Technológiai Intézet (NIST) jelentősen szűkíti a CVE-adatok részletes feldolgozásának körét. Idővel az automatizált kiegészítés kizárólag a legsúlyosabb, célzott kategóriákba sorolt hibákra terjed majd ki. A NIST döntése alapján kizárólag azok a sérülékenységek élveznek kiemelt figyelmet, amelyek szerepelnek az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) által vezetett KEV-katalógusban, a szövetségi kormányban használt szoftverekhez kapcsolódnak, vagy megfelelnek az elnöki rendeletben meghatározott, kritikus szoftverekre vonatkozó követelményeknek. Konkrétabban: csak azok az esetek számítanak, amelyek rendszerszintű kockázatot jelenthetnek, például jogosultságokhoz, illetve hálózati vagy adathozzáféréshez kötődnek.

Mire nem lesz már kapacitás?

Azokat a bejelentéseket, amelyek nem felelnek meg ezeknek a szigorú követelményeknek, a NIST “Not Scheduled” státuszba helyezi – magyarán, későbbi, részletes elemzésük nem várható. Bár ezen hibák egyes rendszerekre súlyos hatással lehetnek, az NIST szerint nem okoznak átfogó, rendszerszintű veszélyt.
A változás számos technikai részletet is érint: ha egy hibához már van súlyossági pontszám, a NIST nem készít külön értékelést, frissítés pedig csak akkor történik, ha ez érdemi változást hoz a kapcsolódó adatokban. Külön kérésre van lehetőség újraelemzésre, ehhez e-mailben kell jelezni az igényt.
Végül: minden, 2026. március 1-je előtt bejelentett, de még feldolgozatlan bejelentés szintén átkerül a “Not Scheduled” kategóriába, hacsak nem tartozik a KEV-katalógushoz. Az NIST frissíti a CVE-státuszokat, a leírásokat és az információs irányítópultot is, hogy a szakemberek valós időben pontos képet kapjanak a hibák aktuális állapotáról.

2026, adrienne, it.slashdot.org alapján