NIST restringe análise de falhas do CVE – Na última quarta-feira (15 de abril), o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) anunciou que passará a fazer análises detalhadas apenas de parte das vulnerabilidades registradas no programa Common Vulnerabilities and Exposures (CVE).

Critérios para o “enriquecimento”

Segundo comunicado da agência, o chamado “enriquecimento” – que inclui atribuição de notas de gravidade e outras informações técnicas – será aplicado somente quando a falha:

estiver no catálogo de vulnerabilidades conhecidas e exploradas (KEV) da CISA;
afetar softwares usados pelo governo federal dos EUA;
ou envolver softwares considerados críticos.

Mesmo com a mudança, todas as falhas continuarão a ser listadas na Base Nacional de Dados de Vulnerabilidades (NVD) mantida pelo órgão.

Motivo da mudança

De acordo com o NIST, ferramentas de inteligência artificial ampliaram a velocidade de descoberta de brechas, provocando um aumento de 263% no número de CVEs entre 2020 e 2025. Essa escalada sobrecarregou equipes responsáveis pela validação dos dados.

“Isso nos permitirá focar nas CVEs com maior potencial para impacto generalizado”, explicou o instituto. “Embora CVEs que não atendam a esses critérios tenham impacto significativo nos sistemas afetados, elas geralmente não apresentam o mesmo nível de risco sistêmico das categorias priorizadas.”

O que é o CVE

O CVE (Common Vulnerabilities and Exposures) é um banco de dados que atribui identificadores únicos a falhas de cibersegurança. Cada registro traz o código “CVE”, o ano e uma sequência numérica, facilitando a comunicação entre profissionais do setor.

Em abril de 2025, o projeto enfrentou risco de interrupção após atraso da Agência de Cibersegurança e Segurança de Infraestrutura (CISA) na renovação do contrato com a organização sem fins lucrativos Mitre, responsável pela manutenção da base.

Com a nova política, o NIST busca equilibrar recursos e concentrar esforços em vulnerabilidades que possam provocar efeitos mais amplos.