NVD は National Vulnerability Database の略で、アメリカの NIST が運営する脆弱性データベースです。CVE 番号を入口に、その脆弱性の詳細を調べるときの代表的な参照先になっています。
CVE レコードと NVD の分担
NVD は、CVE の情報を取り込み、検索・比較しやすい形に整えて情報を足しているデータベースです。CVE レコードそのものにも、発行した組織（CNA）が影響範囲や深刻度を書けるので、「CVE は番号だけ、中身は全部 NVD」ではありません。
| CVE レコード | NVD | |
|---|---|---|
| 番号 | CVE の仕組みで割り当てる | CVE の番号をそのまま使う |
| 説明・参考リンク | CNA が書く | CVE から取り込む |
| 影響を受ける製品・版 | CNA が書く | 検索できる形式（CPE）に整えて付ける ※ |
| 深刻度の点数（CVSS） | CNA が付けることがある | CNA の値を表示する。NIST が独自に付けることもある ※ |
| 脆弱性の種類（CWE） | CNA が付けることがある | NIST が付けることがある ※ |
※ NIST が付ける情報は、2026年4月から優先度の高いものに絞られています（次の節）。
NVD の詳細ページで点数を見るときは、誰が付けた点数か（CNA か NIST か）の表示も一緒に見ます。同じ脆弱性でも、付けた組織によって点数が違うことがあります。
2026年4月から、NVD の付加情報は全件には付かない
NIST は 2026年4月15日から、製品情報や独自の点数などを付ける作業（enrichment）を次の CVE に優先して行うと発表しました。
- CISA の KEV Catalog に載ったもの（受け取ってから1営業日以内が目標）
- 米国の連邦政府が使っているソフトウェアに関するもの
- 大統領令 14028 で定める「重要なソフトウェア」に関するもの
それ以外の CVE も NVD には登録されますが、「Lowest Priority - not scheduled for immediate enrichment（すぐには付加しない）」という扱いになります。2026年3月1日より前に公開されて未処理だったものは「Not Scheduled」に移されました。また、CNA がすでに深刻度を付けている CVE には、NIST は原則として別の点数を付けなくなりました。
つまり「NVD に製品情報や NIST の点数が無い」状態は、これから普通にあります。情報が薄いと感じても、調べ方の問題ではありません。
NVD の付加情報を待つのではなく、ベンダーの告知と CVE レコード本体を先に見ます。自社製品にどの条件で影響するか、回避策があるかは、ベンダーにしか書けません。NVD は横並びで比べるための道具で、個別の判断材料はベンダー側にあります。
CVE の番号は、割り当てられた時点では「予約」の状態で、中身はまだ公開されません。誰でも見られるようになるのは、CNA がレコードを公開した時点です。
点数だけで優先順位を決めない
NVD で見られる CVSS の点数は、その脆弱性が最悪の条件で悪用されたときの深刻さを表します。自社にとっての緊急度とは別物です。
同じ9点台でも、次の2つはまったく違います。
- インターネットに公開している機能で、認証なしに悪用できる
- 使っていない機能で、そもそも有効化していない
優先順位を決めるときに見るのは、点数のほかに次の3つです。
- その機能を実際に使っているか
- 外部から到達できるか
- 実際に悪用されているか（KEV Catalog に載っているか）
3番目が載っていれば、点数が中くらいでも優先度は上がります。点数は出発点であって結論ではありません。
CVSS の点数に「実際に悪用されているか」を加えて対応の順番を決める方法は、KEVカタログで脆弱性対応の優先度を決める で解説しています。
参考（2026年10月18日に確認）
- NIST Updates NVD Operations to Address Record CVE Growth（NIST、2026年4月）
- CVE JSON レコードの形式（CVE Program）
よく一緒に出てくる用語
- 番号そのものである CVE
- 深刻度の点数 CVSS
- 悪用が確認されたものの一覧 KEV Catalog
- 運営している NIST