Кризис NVD и CVE 2026: workflow пентестера

CVE-2026-44378 в криптографической библиотеке Botan - уязвимость закрыта 6 мая 2026 года, патч вышел 7 мая. Запись в NVD появилась только 27 мая, CPE добавлен 2 июня. По данным аналитиков RedCheck - почти месяц между фиксом и полноценной записью, по которой сканер мог бы отработать. С начала весны 2026 я сталкиваюсь с этим на каждом втором проекте: Nessus возвращает CVE ID, а в карточке NVD - ни CVSS, ни CPE, ни ссылок на advisory. Только идентификатор и пара строк описания от CNA. Привычная цепочка "запустил сканер -> получил CVSS -> приоритизировал" сломалась. Пора формализовать обходной маршрут.

NIST NVD backlog: что произошло в апреле 2026​

1 апреля 2026 года NIST опубликовал официальное заявление: с 15 апреля NVD переходит на риск-ориентированную модель. Обогащение (CVSS-оценки, привязки CPE, классификация CWE) теперь получают только приоритетные CVE:

• уязвимости из каталога CISA KEV (Known Exploited Vulnerabilities);
• уязвимости в ПО федерального правительства США;
• уязвимости в критически важном софте (critical software по определению NIST).

Всё остальное по-прежнему попадает в базу, но со статусом "Lowest Priority - not scheduled for immediate enrichment". Идентификатор и описание от CNA - всё, что вы получите.

Цифры (по данным HelpNetSecurity и CSA, без доступа к оригинальному заявлению на момент написания): рост CVE-заявок на 263% между 2020 и 2025 годами. За первый квартал 2026 - на треть больше, чем за аналогичный период 2025-го. В 2025 году NIST обогатил почти 42 000 CVE (на 45% больше любого предыдущего года) - и этого не хватило.

По оценке Cloud Security Alliance, примерно 29 000 необогащённых CVE с датой публикации до 1 марта 2026 года переведены в статус «Not Scheduled». Аудит Генерального инспектора Минторга США (OIG, отчёт от июня 2026, по данным HelpNetSecurity) вскрыл четыре системные проблемы:

1. У NIST отсутствовал стратегический план для NVD.
2. Процесс обогащения дублировал работу CNA: около 80% заявок уже приходили с готовым CVSS от подающей стороны (цифра по пересказу HelpNetSecurity; оригинал отчёта OIG не найден в открытом доступе), но NIST пересчитывал оценку заново. Десятилетиями.
3. NIST и CISA параллельно обогащали одни и те же CVE (программы NVD и Vulnrichment), причём через одного подрядчика - Analygence.
4. Коммуникация со стейкхолдерами NVD была неудовлетворительной.

OIG прогнозирует: в 2026 году общее число зарегистрированных уязвимостей превысит 60 000. NIST не справляется, а заявленные меры автоматизации (ML-триаж, workflow enhancements) пока не масштабированы. Вывод для пентестера конкретный: если сканер или скрипт опирается на NVD как единственный источник CVSS и CPE - картина неполная. И это уже не временный сбой, а новая реальность.

Задержки обработки CVE: три примера на верифицированных данных​

CVE-2026-44378 - Botan (CVSS 6.9 MEDIUM, CVSS 4.0)​

Уязвимость в BER-парсере библиотеки Botan: определённые паттерны indefinite length encodings вызывают квадратичную сложность парсинга (CWE-407 - Algorithmic Complexity), результат - отказ в обслуживании. Затронуты версии до 3.12.0.

CISA Vulnrichment через ADP-контейнер присвоил SSVC-решение Track (exploitation: none, automatable: yes, technical impact: partial). EPSS - 0.0032 (percentile 25.7%, ниже медианы).

Вектор CVSS 4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L - сетевой доступ, низкая сложность, без привилегий, без взаимодействия пользователя. Impact - только availability, и тот partial. Без обогащения NVD пентестер должен разобрать этот вектор сам и решить, тащить ли находку в отчёт.

На момент написания для этой CVE нет записей в Exploit-DB и нет заметных PoC-репозиториев на GitHub. PoC-разведку по свежим CVE-2026-* стоит вести через GitHub Search (github.com/search?q=CVE-2026-44378&type=repositories), а не через searchsploit.

CVE-2026-23534 - FreeRDP (CVSS 7.7 HIGH, CVSS 4.0)​

Heap buffer overflow в ClearCodec bands decode path клиента FreeRDP (CWE-122 - Heap-based Buffer Overflow). Вредоносный RDP-сервер может вызвать crash клиента (DoS) и потенциальное выполнение кода - зависит от аллокатора и раскладки heap. Затронуты версии до 3.21.0.

SSVC: Track\* (exploitation: poc, automatable: yes, technical impact: partial). EPSS - 0.0053 (percentile 45.3%, ниже медианы).

И вот тут интересно. SSVC зафиксировал наличие PoC (статус Track\*), а EPSS этого не отразил - оценка ниже медианы. Пентестер, который смотрит только на EPSS, занизит приоритет. Проверка SSVC покажет звёздочку и сигнал к повышению.

В разрезе ATT&CK эта CVE интересна для Exploitation of Remote Services (T1210, Lateral Movement): если в инфраструктуре заказчика используются FreeRDP-клиенты до 3.21.0, атакующий может развернуть rogue RDP-сервер для client-side exploitation.

Exploit-DB записей для CVE-2026-23534 тоже нет. PoC-репозитории на GitHub - если появятся - оценивайте по числу звёзд, дате обновления, наличию issues. Community-репозиторий с 4-5 звёздами и без активных issue - это непроверенная заявка на исследование, а не верифицированный exploit. Не ставьте его в один ряд с KEV или Exploit-DB как аргумент для повышения severity в отчёте.

Для сравнения: CVE-2021-44228 (Log4Shell)​

CVSS 10.0 CRITICAL (CVSS 3.1, вектор AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). EPSS - 1.0000 (percentile 100%). В CISA KEV с 10 декабря 2021 года, отмечена как используемая в ransomware-кампаниях. SSVC: Act (exploitation: active, automatable: yes, technical impact: total). Четыре CWE одновременно: CWE-20 (Improper Input Validation), CWE-400 (Uncontrolled Resource Consumption), CWE-502 (Deserialization of Untrusted Data), CWE-917 (Expression Language Injection) - каждый отражает отдельный аспект уязвимости.

Записи Exploit-DB: EDB-50592 (RCE, автор kozmer), EDB-50590 (Information Disclosure, автор leonjza), EDB-51183 (RCE через AD Manager Plus 7122). На GitHub - kozmer/log4j-shell-poc (1843, архивный репозиторий), Puliczek/CVE-2021-44228-PoC-log4j-bypass-words (952). Верифицированные PoC с многолетней историей.

Записи Exploit-DB здесь приведены исключительно для Log4Shell - исторической CVE с полным обогащением. Для свежих CVE-2026-\* на момент написания записей в Exploit-DB нет. PoC-разведку по ним - только через GitHub-поиск.

Разница бьёт в глаза: для Log4Shell все источники сошлись за часы, пентестер получил полную картину мгновенно. Для CVE-2026-\* картина фрагментирована - и именно в этой фрагментации сидит операционный риск.

Альтернативы NVD: источники уязвимостей для пентестера​

CISA Vulnrichment и SSVC-решения​

CISA запустила программу Vulnrichment в мае 2024 года. Метаданные (SSVC-решение, CWE, иногда CPE) встраиваются в CVE JSON через ADP-контейнер (Authorized Data Publisher). Данные открыты в репозитории github.com/cisagov/vulnrichment.

SSVC (Stakeholder-Specific Vulnerability Categorization) - альтернатива числовому CVSS. Вместо оценки 0-10 - actionable-решение:


Для пентестера SSVC полезнее CVSS когда NVD не обогатил запись: вместо "нет оценки" - конкретное решение, которое можно транслировать в отчёт.

EPSS - вероятность эксплуатации​

Пересчитывается ежедневно на основе сигналов из открытых источников.


CVE-2025-6554 (type confusion в V8, CVSS 8.1 HIGH, CWE-843): EPSS 0.1414 (Top 5%), в CISA KEV с 2 июля 2025 года, SSVC Act. Три индикатора согласованы. Для пентеста веб-приложений на Chromium-движке - находка для Exploit Public-Facing Application (T1190, Initial Access), по данным MSRC затрагивает Microsoft Edge.

Но EPSS не всеведущ: CVE-2026-23534 с EPSS 0.0053 уже имеет PoC (SSVC Track\*). Один источник не заменяет другой - комбинация обязательна.

KEV, вендорские бюллетени и другие источники​

CISA KEV - уязвимости с подтверждённой эксплуатацией in the wild. По данным ITSec.ru, между публикацией CVE и первой наблюдаемой атакой для уязвимостей из KEV в среднем проходит 5 дней. Пять лет назад окно превышало 30 дней. На пентесте находка в KEV - автоматически critical finding. Без обсуждений.

Вендорские бюллетени опережают NVD. Microsoft MSRC опубликовал advisory по CVE-2025-6554 (затрагивает Edge) 1 июля 2025 года, CISA добавила в KEV 2 июля. Вендор указывает конкретные условия эксплуатации, которые CPE не передаёт.

OSV.dev (Google/OpenSSF) - база уязвимостей open source по экосистемам (Maven, PyPI, npm). Для пентестера веб-приложений на open source стеке - первичный источник по зависимостям. Связана с GitHub Security Advisories (GHSA) и Dependabot.

VulnCheck NVD++ - обогащённая версия NVD-данных, верифицированная и дополненная из вторичных источников. Есть community-доступ и платные фичи с базами эксплойтов. По данным HelpNetSecurity и CSA, VulnCheck и OSV.dev набирают adoption как альтернативы NVD.

БДУ ФСТЭК (bdu.fstec.ru) - для тех, кто работает в российском сегменте. Более 92 000 записей, собственная методика оценки критичности и раздел трендовых уязвимостей - по сути, российский аналог KEV. Не зависит от перипетий NVD.

EUVD (ENISA) - европейская база, запущенная в мае 2025 года, агрегирует CVE, KEV и данные национальных CERT стран ЕС. Дополнительный источник для кросс-верификации.

Приоритизация уязвимостей без CVSS от NVD​

Когда NVD не обогатил CVE, алгоритм приоритизации для пентест-отчёта выглядит так:

1. KEV - CVE в каталоге CISA KEV? Да - Critical, точка.
2. SSVC - Act -> Critical. Track\* -> High (PoC есть). Track -> Medium.
3. EPSS - percentile >95% -> высокая вероятность эксплуатации. <50% - перепроверьте SSVC (CVE-2026-23534: EPSS 45%, но SSVC Track\*).
4. PoC-разведка - Exploit-DB (верифицированный) > GitHub 1000+ (проверенный сообществом) > GitHub <10 (непроверенная заявка). Для свежих CVE-2026-\* записей в Exploit-DB, как правило, нет - только GitHub-поиск.
5. CNA CVSS - если NIST не дал оценку, берите CNA-скор. Он есть у ~80% CVE (по косвенным оценкам).
6. CWE-анализ - CWE-122 (Heap Buffer Overflow) -> потенциальное RCE. CWE-407 (Algorithmic Complexity) -> DoS. CWE-843 (Type Confusion) -> arbitrary read/write. Помогает оценить impact. Но CWE присваивается формально и не всегда точно отражает реальный вектор - читайте описание CVE и вендорский бюллетень.

Workflow от сканера до отчёта без NVD-обогащения​

Шаг 6. Вендорский бюллетень. MSRC, Cisco PSIRT, GitHub Security Advisories, OSV.dev. Вендор указывает конкретные условия эксплуатации - конфигурацию, версию, порт - которые NVD CPE не передаёт даже в лучшие времена.

Шаг 7. Приоритет для отчёта. KEV (да/нет) + SSVC (Act/Track\*/Track) + EPSS (percentile) + наличие PoC (уровень доверия) + CWE (класс impact). Этого достаточно для обоснованного ранжирования. И это не менее строго, чем CVSS от NVD - скорее наоборот.

Восемьдесят процентов CVE-заявок приходили в NVD с готовым CVSS от CNA - и NIST десятилетиями пересчитывал оценку заново. Аудит OIG назвал это неэффективностью, и спорить тут сложно. Но вопрос, который мало кто задаёт вслух: а нужен ли пентестеру NVD-шный CVSS вообще? Полгода я работаю со связкой SSVC + EPSS + KEV для приоритизации находок - и ни разу не вернулся к NVD за числом. SSVC даёт actionable-решение, EPSS - вероятность, KEV - факт эксплуатации. CVSS от NVD добавлял ровно одно: привычную цифру для отчёта, которую заказчик ожидает увидеть. Для коммуникации - да, полезно. Для принятия решений - нет.

А вот что тревожит по-настоящему: рынок движется к ситуации, где severity определяет вендор. А у вендора - конфликт интересов. Высокий CVSS - репутационный удар, срочный incident response от клиентов, вопросы от регуляторов. Когда NIST перестал дублировать CNA-оценки, исчез последний независимый арбитр. CVE-2026-23534 - CVSS 7.7 от вендора FreeRDP. Может, 7.7 корректно. А может - занижено. Второго мнения от NIST больше не будет. Проверить теперь некому, кроме вас. Именно поэтому workflow с кросс-сверкой по SSVC, EPSS и KEV - уже не перестраховка, а единственный рабочий вариант. Попробуйте прогнать свой последний отчёт через эту связку и посмотрите, сколько находок поменяют приоритет. На WAPT эту цепочку проходят в модуле по vulnerability assessment с лабами.