しかし、この構造が変化しつつあります。米国NISTは、2026年4月15日にNVDの運営方式を改編すると発表しました。すべてのCVEを同様の方法で分析することが困難になったため、優先順位を定めて一部の脆弱性を優先的に補強することにしました。
2025年4月にCVEプログラムを運営する非営利機関MITREと米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が予算削減や契約満了、延長に関する議論を経た後に現れた、もう一つの変化です。 

NISTが優先的に分析する対象は、CISAの「既知の悪用された脆弱性カタログ（KEV）」に含まれるCVEです。米国連邦政府が使用するソフトウェアのCVE、米国大統領令EO 14028で定義された重要ソフトウェアのCVEがこれに該当します。 

ここでいう「重要ソフトウェア」とは、発電所や工場のような重要インフラのソフトウェアだけを指すのではありません。米国連邦政府の業務やセキュリティにおいて重要な機能を果たすソフトウェアを別途定義した概念です。

優先順位に含まれないCVEもNVDに登録されます。ただし、「Lowest Priority（最低優先度）— Not Scheduled for Immediate Enrichment（即時分析の予定なし）」のステータスに分類される可能性があります。脆弱性の名前はリストに掲載されますが、NISTによる詳細な分析は後回しになることがあります。

現在、CVEは番号だけを含んでいるわけではありません。CVE番号を発行する機関であるCNA（CVE Numbering Authority）が、脆弱性の説明や影響を受ける製品、欠陥のタイプ、危険度スコアなどをあわせて提供しています。 

問題は、CNAごとに分析能力や提供する情報の範囲が異なる点です。あるCVEには詳細な製品情報と危険度スコアが含まれている一方で、別のCVEには簡単な説明と参考リンクしか含まれていない場合があります。

NIST NVDは、このような格差を埋める役割を果たしてきました。NISTはCVSS、CPE、CWEを補強してきました。CVSSは「どれほど深刻か」を示します。CPEは「どの製品が影響を受けるか」を知らせます。CWEは「どのような方法で作られた欠陥か」を説明します。

• CVSS：脆弱性自体の技術的な深刻度

• CPE：影響を受ける製品とバージョンを標準化して表示する体系

• CWE：脆弱性がどのような種類のソフトウェア・ハードウェアの欠陥であるかを区別する分類

これらの情報が結合されて初めて、脆弱性スキャナーや管理ツールが「自社で使用している製品に問題がある」や「この脆弱性を優先して修正する必要がある」と自動的に判断しやすくなります。