그런데 이 구조가 변화하고 있습니다. 미국 NIST는 2026년 4월 15일 NVD 운영 방식을 개편한다고 발표했습니다. 모든 CVE를 같은 방식으로 분석하기 어려워지자 우선순위를 정해 일부 취약점을 먼저 보강하기로 했습니다.
2025년 4월 CVE프로그램을 운영하는 비영리기관 MITRE와 미국 사이버보안·인프라보안국(CISA)이 예산 축소와 계약 만료, 연장 논란을 겪은 후 나타난 또 다른 변화입니다. 

NIST가 우선 분석하는 대상은 CISA의 ‘알려진 악용 취약점 목록(KEV)’에 포함된 CVE 입니다. 미국 연방정부가 사용하는 소프트웨어의 CVE, 미국 행정명령 EO 14028에서 정의한 핵심 소프트웨어의 CVE입니다. 

여기서 ‘핵심 소프트웨어’는 발전소나 공장과 같은 핵심 인프라의 소프트웨어만을 뜻하지 않습니다. 미국 연방정부의 업무와 보안에 중요한 기능을 수행하는 소프트웨어를 별도로 정의한 개념입니다.

우선순위에 포함되지 않은 CVE도 NVD에 등록됩니다. 다만 ‘Lowest Priority(최저 우선순위)—Not Scheduled for Immediate Enrichment(즉시 분석 일정 없음)’ 상태로 분류될 수 있습니다. 취약점의 이름은 목록에 올라가지만, NIST의 상세 분석은 뒤로 밀릴 수 있습니다.

현재 CVE는 번호만 담고 있지는 않습니다. CVE 번호를 발급하는 기관인 CNA(CVE Numbering Authority)가 취약점 설명과 영향을 받는 제품, 결함 유형, 위험도 점수 등을 함께 제공합니다. 

문제는 CNA마다 분석 역량과 제공하는 정보의 범위가 다릅니다. 어떤 CVE에는 자세한 제품 정보와 위험도 점수가 있지만, 어떤 CVE에는 간단한 설명과 참고 링크만 있을 수 있습니다.

NIST NVD는 이런 차이를 줄이는 역할을 해왔습니다. NIST는 CVSS, CPE, CWE를 보강했습니다. CVSS는 “얼마나 심각한가”를 보여줍니다. CPE는 “어떤 제품이 영향을 받는가”를 알려줍니다. CWE는 “어떤 방식으로 만들어진 결함인가”를 설명합니다.

• CVSS: 취약점 자체의 기술적 심각도

• CPE: 영향을 받는 제품과 버전을 표준화해 표시하는 체계

• CWE: 취약점이 어떤 종류의 소프트웨어·하드웨어 결함인지 구분하는 분류

이런 정보가 결합돼야 취약점 스캐너와 관리 도구가 “우리 회사가 사용하는 제품에 문제가 있다”거나 “이 취약점을 먼저 고쳐야 한다”고 자동으로 판단하기 쉬워집니다.