NVD

NVD (National Vulnerability Database) to amerykańska baza podatności prowadzona przez NIST, opisywana przez instytut jako repozytorium informacji o błędach oprogramowania i sprzętu, które mogą naruszyć bezpieczeństwo komputerowe ^[1]. Słownik NIST definiuje ją jako rządowe repozytorium danych do zarządzania podatnościami, zapisanych w formacie SCAP i służących automatyzacji zarządzania podatnościami, pomiaru bezpieczeństwa i badania zgodności ^[2]. NVD nie nadaje numerów CVE. Opisuje rekordy, które powstały wcześniej, i dodaje do nich analizę: ocenę CVSS, klasę słabości CWE i listę dotkniętych produktów ^[1].

Jak działa

Każdy rekord CVE nadaje organizacja uprawniona przez program CVE, czyli CNA ^[5]. Rekord trafia na listę CVE, a stamtąd do NVD. Zespół NIST wykonuje wtedy tak zwane wzbogacenie (enrichment): dopisuje ocenę powagi, listę podatnych konfiguracji i powiązania z innymi katalogami ^[1]. Od 2026 roku NVD pokazuje przy rekordzie także dane SSVC dostarczane przez CISA oraz pole „affected” z rekordu CVE ^[1].

Słownik NIST wymienia też szerszy zakres zbiorów NVD: listy kontrolne bezpieczeństwa, błędy oprogramowania, błędne konfiguracje, nazwy produktów i miary skutków ^[2]. W praktyce najczęściej korzysta się z rekordów podatności.

Listę produktów zapisuje się w formacie CPE. NIST opisuje CPE jako ustandaryzowany sposób opisywania klas aplikacji, systemów operacyjnych i urządzeń; nazwa CPE wskazuje klasę produktu, a nie konkretną instalację ^[3]. Obecnie obowiązuje CPE 2.3, a prace nad wersją 3.0 są na wczesnym etapie i nie ma jeszcze tekstu specyfikacji ^[3].

RYS. 1Droga rekordu do NVD

Co zawiera rekord

Powiązanie z katalogiem KEV jest ważne dla priorytetów, bo wskazuje błędy wykorzystywane w atakach. Uzupełnieniem jest EPSS, który szacuje prawdopodobieństwo wykorzystania, oraz europejska baza EUVD.

W WordPressie

Numerów CVE dla podatności w WordPressie nie nadaje NIST, tylko organizacje CNA, w tym wyspecjalizowane firmy z tego ekosystemu. Patchstack został CNA w czerwcu 2021 roku i może nadawać numery CVE zgłoszeniom dotyczącym rdzenia WordPressa, wtyczek, motywów i innych komponentów PHP ^[5]. Wordfence otrzymał takie uprawnienie w tym samym miesiącu; WP Tavern informował o tym 14 czerwca 2021 roku ^[6]. Dzięki temu numer CVE powstaje od razu przy publikacji badania, bez czekania na zewnętrznego CNA ^[6].

Dla właściciela strony wynika z tego praktyczna zasada. Rekord o podatności we wtyczce pojawia się w NVD, ale ocena powagi często pochodzi od CNA, a nie od NIST. Od 15 kwietnia 2026 roku NIST nie dodaje już rutynowo własnej oceny, jeśli CNA podał swoją ^[1]. Rekord spoza priorytetów NIST może też długo czekać na listę konfiguracji CPE, bez której skaner nie dopasuje go do zainstalowanej wersji ^[3]. Przy stronach WordPress NVD bywa więc punktem odniesienia, a bieżące informacje dają biuletyny CNA z tego ekosystemu.

Zaległości i priorytety

NIST przyznaje, że od początku 2024 roku w NVD narosły duże zaległości w analizie rekordów i nie udało się ich zlikwidować ^[1]. Według instytutu liczba zgłoszeń CVE wzrosła o 263% między 2020 a 2025 rokiem ^[1]. W 2025 roku NIST wzbogacił prawie 42 000 rekordów, o 45% więcej niż w którymkolwiek wcześniejszym roku, ale to nie wystarczyło ^[1].

Od 15 kwietnia 2026 roku NIST analizuje w pierwszej kolejności trzy grupy ^[1]:

• rekordy z katalogu KEV, z celem wzbogacenia w ciągu jednego dnia roboczego;
• rekordy dotyczące oprogramowania używanego przez administrację federalną USA;
• rekordy dotyczące oprogramowania krytycznego w rozumieniu rozporządzenia wykonawczego 14028.

Pozostałe rekordy nadal trafiają do bazy, ale otrzymują status „Lowest Priority - not scheduled for immediate enrichment” ^[1]. Rekordy z zaległości opublikowane przed 1 marca 2026 roku przeniesiono do kategorii „Not Scheduled” ^[1]. W praktyce świeży wpis o wtyczce WordPress może długo nie mieć analizy NIST. Użytkownik może jednak poprosić o wzbogacenie wybranego rekordu, pisząc do zespołu NVD ^[1].

Zmieniła się też zasada ponownej analizy. Dotąd NIST analizował ponownie każdy rekord zmodyfikowany po wzbogaceniu; teraz robi to tylko wtedy, gdy zmiana istotnie wpływa na dane z analizy ^[1]. Rekord w NVD może więc różnić się od nowszej wersji rekordu CVE.

Jak korzystać

OWASP w wydaniu Top 10 z 2025 roku zaleca ciągłe monitorowanie źródeł takich jak CVE, NVD i OSV pod kątem podatności w używanych komponentach ^[4]. Zaleca też prowadzenie wykazu składników, czyli SBOM (wykaz komponentów oprogramowania), i śledzenie zależności pośrednich ^[4]. NVD jest więc jednym z wejść do zarządzania podatnościami, a nie jedynym.

Przy pracy z danymi NVD warto pamiętać o kilku rzeczach:

• brak oceny NIST nie oznacza, że błąd jest niegroźny; trzeba sprawdzić ocenę CNA i biuletyn producenta;
• dane zmieniają się w czasie, więc synchronizację robi się przyrostowo, po dacie ostatniej modyfikacji ^[1];
• decyzję o instalacji łatki (patch) podejmuje się na podstawie wersji zainstalowanej na stronie, a nie samego numeru CVE.

Historia i przykłady

NVD bywa korygowana. 15 kwietnia 2026 roku NIST otrzymał zgłoszenie o błędnych liczbowych ocenach CVSS 4.0 ^[1]. Błąd w sposobie obliczania objął około 4500 rekordów, czyli 19% rekordów z oceną w wersji 4.0; poprawkę wdrożono skryptem 28 kwietnia 2026 roku ^[1]. 17 czerwca 2026 roku baza rozszerzyła schemat o dane SSVC i pole „affected”, a aktualizacja objęła około 95% istniejących rekordów ^[1]. Od 26 sierpnia 2026 roku historia zmian zawiera zamiast pełnej listy „affected” odnośnik do rekordu CVE w repozytorium GitHub ^[1].