Punti chiave
- Il National Vulnerability Database è l’archivio del governo statunitense che cataloga le vulnerabilità software e hardware divulgate pubblicamente, utilizzando identificatori CVE standardizzati e punteggi di gravità CVSS.
- Il NIST ha istituito l’NVD nel 2005 come successore dell’Internet Category of Attack Toolkit, che tracciava le vulnerabilità software dal 1999.
- Una vulnerabilità entra nell’NVD dopo che un ricercatore di sicurezza, un fornitore o uno sviluppatore la segnala, MITRE le assegna un identificatore CVE e il NIST esamina la voce e le attribuisce un punteggio di gravità.
- Ad aprile 2026 il NIST ha portato l’NVD a un modello di arricchimento basato sul rischio, che dà priorità alle vulnerabilità presenti nel catalogo Known Exploited Vulnerabilities della CISA, al software federale e al software critico, anziché all’intero catalogo di segnalazioni.
- I team IT non dovrebbero affidarsi solo all’NVD, perché può presentare ritardi nei dati e una copertura incompleta: meglio integrarlo con altre fonti di threat intelligence.
Il National Vulnerability Database (NVD) è una fonte di informazioni messa a disposizione dal governo statunitense che cataloga le vulnerabilità di sicurezza in un formato standardizzato e consultabile. Comprende database di prodotti software e hardware, le relative falle di sicurezza note (incluse le configurazioni errate) e la loro gravità e il loro impatto. L’NVD è una risorsa importante per i professionisti IT, perché permette di restare aggiornati sui potenziali problemi di sicurezza presenti nella propria infrastruttura IT.
Questa guida completa spiega che cos’è il National Vulnerability Database e perché è importante per la cybersecurity. Troverai una panoramica del suo funzionamento e indicazioni utili per sfruttarlo nelle tue operazioni di sicurezza IT, così da valutare, classificare e ridurre le vulnerabilità nascoste nei tuoi software e sistemi.
Rileva, gestisci e risolvi le vulnerabilità in modo semplice.
📝 Iscriviti a una prova gratuita di NinjaOne Vulnerability Management.
Che cos’è il National Vulnerability Database? Struttura e componenti dell’NVD
Il National Vulnerability Database è nato nel 2005, finanziato dal governo statunitense, come successore dell’Internet Category of Attack Toolkit (ICAT), che catalogava le vulnerabilità software dal 1999. Ad agosto 2026 l’NVD ha documentato oltre 374.000 vulnerabilità e il ritmo delle scoperte continua ad accelerare rapidamente.
L’NVD si basa su un database di vulnerabilità e prodotti interessati. I componenti e le funzionalità principali dell’NVD sono:
- Vulnerabilità: include anche informazioni su prodotti e versioni software specifici e il codice CVE (Common Vulnerabilities and Exposures) associato a ogni vulnerabilità. I prodotti vengono identificati in modo univoco tramite la Common Platform Enumeration (CPE).
- Livelli di gravità e metriche di impatto: i punteggi Common Vulnerability Scoring System (CVSS) e le metriche di impatto indicano la gravità e le possibili conseguenze della vulnerabilità, compresi gli effetti su riservatezza, integrità e disponibilità del prodotto interessato.
- Raccomandazioni per la riduzione del rischio: per ogni vulnerabilità, l’NVD indica le misure consigliate per eliminarla (ad esempio con una patch software o una modifica della configurazione che la risolve) oppure per ridurne l’impatto con configurazioni o protezioni aggiuntive.
L’NVD mette a disposizione funzioni di ricerca e filtro che ti permettono di verificare se i tuoi dispositivi e software presentano vulnerabilità da ridurre o da correggere tramite patching. Inoltre, l’NVD offre anche un archivio consultabile di checklist: linee guida e best practice per prodotti specifici che puoi seguire per proteggere meglio la tua infrastruttura IT dai vettori di attacco noti.
Come funziona l’NVD per affrontare i problemi di cybersecurity
Il processo di inserimento di una vulnerabilità nell’NVD inizia quando un ricercatore di sicurezza, un fornitore o uno sviluppatore individua un problema in un proprio prodotto. A volte anche un normale utente finale può segnalare una falla in un dispositivo o in un software che utilizza.
Le potenziali vulnerabilità vengono poi segnalate e ricevono un ID univoco nel database CVE per tenere traccia del problema. La segnalazione deve includere i dettagli della vulnerabilità, ovvero i prodotti interessati, l’impatto dell’exploit ed eventuali misure di riduzione del rischio individuate. Una volta creato il CVE, il National Vulnerability Database esamina la voce, ne determina la gravità, assegna un punteggio CVSS e la pubblica nel proprio database online.
Come usare l’NVD per la valutazione e la gestione delle vulnerabilità
Per gestire e ridurre le vulnerabilità di sicurezza IT puoi cercare le minacce rilevanti nell’NVD, manualmente oppure tramite l’automazione e prodotti di sicurezza che attingono i dati da CVE e NVD.
Puoi accedere al National Vulnerability Database dal sito nvd.nist.gov e cercare le vulnerabilità rilevanti tramite CVE o CPE, oppure consultare le checklist da seguire per migliorare le configurazioni di sicurezza del software che hai distribuito.
Partendo dalla best practice di eseguire regolarmente la mappatura della rete e le valutazioni delle vulnerabilità, puoi integrare la consultazione dell’NVD nelle tue attività periodiche di mappatura della rete. In questo modo ti assicuri che tutti i dispositivi della rete siano completamente aggiornati contro le minacce note o che le minacce non corrette siano ridotte in modo efficace (ad esempio con regole firewall aggiuntive per endpoint specifici).
Ad esempio, potresti avere hardware legacy (come costose apparecchiature industriali o medicali difficili da sostituire) che richiede una versione software specifica segnalata come non sicura dall’NVD. Una volta individuata la minaccia, puoi isolare la macchina, consentendo l’accesso remoto sicuro solo se necessario e limitandone l’accesso al resto della rete e a internet. Così puoi continuare a usare il sistema senza esporti a un metodo di attacco noto.
Sfide e limiti dell’NVD per la sicurezza IT
Non puoi affidarti soltanto all’NVD per avere un quadro della tua sicurezza IT. La tua infrastruttura è un insieme unico di hardware e software, ciascuno con le proprie criticità di configurazione e le proprie vulnerabilità di sicurezza, alcune delle quali possono favorirne altre.
Il National Vulnerability Database, inoltre, non è esaustivo. Non include (e non può includere) ogni vulnerabilità esistente, soprattutto dopo le modifiche ai processi del NIST nel 2026. Molte vulnerabilità restano non scoperte (e non sfruttate), mentre gli attori delle minacce possono individuare vulnerabilità che non divulgano, continuando così a sfruttarle attivamente.
Per questo è importante disporre di solide capacità di rilevamento e risposta alle minacce ed eseguire valutazioni e interventi di riduzione delle vulnerabilità con regolarità, idealmente con strumenti che attingono a fonti di intelligence diversificate e applicano euristiche per rilevare codice o comportamenti potenzialmente dannosi.
Quanto sono aggiornati i dati dell’NVD nel 2026?
Ad aprile 2026 il NIST ha modificato il modo in cui elabora le nuove vulnerabilità. Di fronte a un volume record di CVE, l’NVD non arricchisce più ogni segnalazione con un punteggio CVSS e l’elenco dei prodotti interessati. Dà invece priorità alle vulnerabilità presenti nel catalogo Known Exploited Vulnerabilities (KEV) della CISA, al software usato dal governo federale e al software che rientra nella definizione di software critico dell’Executive Order 14028. Tutto il resto viene pubblicato ma contrassegnato come “Lowest Priority – not scheduled for immediate enrichment” e potrebbe non ricevere alcun punteggio CVSS.
Questo significa che la voce NVD di un determinato CVE può riportare i dettagli di base senza un punteggio di gravità, in particolare per tutto ciò che è stato pubblicato prima del 1° marzo 2026 e non rientrava già in una categoria prioritaria.
L’NVD è ancora affidabile? Esistono alternative?
Il programma CVE che alimenta l’NVD ha vissuto il suo momento di incertezza sui finanziamenti nell’aprile 2025, quando il contratto di MITRE con il Department of Homeland Security è arrivato a un passo dalla scadenza. La CISA ha prorogato i fondi all’ultimo minuto e un gruppo di membri del board CVE ha costituito l’organizzazione no-profit CVE Foundation come piano di riserva. Nel 2026 la CISA ha confermato la continuità dei finanziamenti al programma.
Le organizzazioni al di fuori degli Stati Uniti hanno anche un’alternativa: l’EU Vulnerability Database (EUVD), gestito da ENISA e attivo da maggio 2025 nell’ambito della direttiva NIS 2 dell’UE. Utilizza gli stessi identificatori CVE come riferimento incrociato, offrendo alle organizzazioni europee un’opzione a governance regionale accanto all’NVD.
Individua le vulnerabilità prima che diventino un grattacapo per l’IT, con NinjaOne.
Il futuro del National Vulnerability Database
Il ruolo del National Vulnerability Database si è evoluto e consolidato, soprattutto alla luce delle recenti modifiche ai processi del NIST e della diffusione di metodologie di rilevamento e risposta basate sull’AI, capaci di elaborare la threat intelligence e di formulare e distribuire automaticamente le strategie di riduzione del rischio più adatte al proprio ambiente operativo. Si tratta di un aspetto diventato prezioso di fronte a minacce complesse che sfruttano a loro volta l’AI.
Alla luce di quanto visto, ricorda che l’NVD è un’ottima base di partenza, ma non è più completamente esaustivo e va considerato solo come una delle varie fonti di dati per la gestione delle vulnerabilità. Se stai distribuendo software di gestione e protezione degli endpoint, assicurati che offra una visibilità sufficiente per identificare in modo rapido e chiaro eventuali nuovi vettori di minaccia.
Vuoi approfondire la domanda “Che cos’è il National Vulnerability Database?”? Guarda questa breve video guida.
