摘要： NIST 於 4 月 15 日宣布 NVD 不再逐筆保證 CVE 富化，只優先處理 KEV、聯邦政府與關鍵軟體三類；3 月 1 日前積壓案件改標 Not Scheduled。2020 到 2025 年，CVE 提交量成長 263%，2025 年達 49,458 筆新高。文章指出，依賴 NVD 排修補順序的團隊必須改用 CNA 評分、EPSS、KEV 與供應商通告組合判斷。
4 月中旬，NIST 對國家漏洞資料庫（NVD）做出該系統營運以來最大的一次方向修正：CVE 不再逐筆保證完成「富化」（enrichment，即補上嚴重度評分、受影響產品清單等分析資料），處理對象縮減為三類高優先漏洞；3 月 1 日前積壓的案件則全數改標「Not Scheduled」。NVD 狀態欄位的變化，最早在 4 月 13、14 日前後被研究者察覺；NIST 接著於 4 月 15 日發出正式公告「NIST Updates NVD Operations to Address Record CVE Growth」。
這次的分量遠超過例行維運。掃描器、SBOM 工具、SOC 劇本——全球修補流程的骨幹——向來把 NVD 視為嚴重度與受影響範圍的預設出處；放棄全面富化，形同正式調降這項公共基礎設施的服務等級。官方給它的新名字是「新的風險本位模型」，目的在讓 NVD 這項公共資源保持可靠、可以長久經營——講白了，就是官方承認「全面覆蓋」的時代畫下句點。
三類 CVE 構成新的即時處理範圍
在新準則下，能獲得即時富化的僅三類：已進 CISA KEV（已知被利用漏洞）目錄者，目標收件後一個工作日內辦完；聯邦政府所用軟體的 CVE；以及 EO 14028 定義下的「關鍵軟體」CVE。其他案件全部落在「最低優先——未排程即時富化」，真有需要可以寫信向 NIST 爭取。另有一項結構調整：CVE 編號授權單位（CNA）已經給了嚴重度評分的案子，NIST 不再照樣重評一遍，省掉重複工。
狀態標籤與配套工具也一併動了：2025 年掛上「Deferred」的 CVE，兩週內將分批遷往「Modified After Enrichment」；已經富化過的案件，唯有修改實質影響分析資料時才會重新分析；NVD Dashboard 改成即時反映待處理量。NIST 沒有假裝積壓會自己消失，而是把「什麼算待處理」的定義整個重寫。
27,000 筆積壓是怎麼堆出來的
NVD 的富化積壓自 2024 年初持續惡化：2024 年中大約 13,000 筆，同年 9 月來到 18,358 筆（當期新進 CVE 有 72.4% 未被分析），2025 年 3 月爬上 25,000 筆，2025 年底突破 27,000 筆。公告中 NIST 自陳的數字同樣驚人：2020 到 2025 年，CVE 提交量成長 263%；2026 年前三個月比去年同期多出近三分之一；2025 年完成約 42,000 筆富化，比以往任何一年都多 45%——產能寫下新高，仍舊追不上湧入量。
換個尺度看，結構變化更明顯：Project Discovery 的統計顯示，2018–2021 四年合計約 77,000 筆 CVE，2022–2025 四年膨脹到約 146,000 筆，接近翻倍；高嚴重度（high severity）漏洞同樣翻了一倍，從約 7,400 筆到約 15,900 筆。量累積到這個地步，問題的性質已經不一樣了。
AI 改寫了漏洞增長曲線
最直白的因果梳理來自 Project Discovery：CVE 年產量在 2018–2021 年間穩定停在 18k–21k，其後連續兩年跳升（2023 到 2024 年漲 32%，2024 到 2025 年漲 23%），2025 年衝上 49,458 筆，而這條時間軸正好與推理模型及 agentic coding 的普及重疊。攻擊端同樣在提速：AI 系統產出可用 exploit 約需 10–15 分鐘、單次成本 1–3 美元；研究框架 CVE-Genie 針對 2024–2025 年 CVE 做的複現實驗，以平均 2.77 美元重現了 51% 具備已驗證 exploit 的漏洞；另有實驗顯示，GPT-4 光憑 CVE 描述就利用了 87% 的測試漏洞。野外零日漏洞也從 2021 年前的每年 20–30 個，跳到之後的 60–100 個。Mandiant 量到的 time-to-exploit，已從 2018 年的 63 天一路壓到近年的個位數，甚至出現負值。人工作業節奏的管線撞上機器節奏的產出，終點正是這次的政策棄守。
掃描器與修補流程受到的衝擊
實務影響落在三個層面。第一層，嚴重度與產品關聯資料會越來越常缺席：靠 NVD 評分排列修補順序的團隊，必須改拿 CNA 原始評分、EPSS、KEV 與供應商通告來組合判斷——而 NIST 停止重複評分後，CNA 自報評分的品質會直接決定下游排序的好壞。眼下能先做的，是把修補排序背後的資料來源重新列一遍，並用 KEV 與 EPSS 重新校準告警閾值。第二層，「不在 NVD 富化範圍」不等於「不危險」：改標 Not Scheduled 的數萬筆漏洞少掉的只是官方分析，真實風險一絲一毫都沒變，追蹤邏輯得自己蓋一套。第三層，修補窗口的舊假設要重寫：當 exploit 速度以小時計，90 天揭露慣例和按季進行的修補週期都得跟著縮短。
2026 年開年展望點出的「安全工程被 AI 產能倒逼重構」，在此有了具體案例（見2026 AI 開年展望）。NVD 降級不是故事的結尾——漏洞管理的責任，就此從公共設施移回每一個工程團隊手中。