Pontos principais
- O National Vulnerability Database é o repositório do governo dos EUA que cataloga vulnerabilidades de software e hardware divulgadas publicamente, usando identificadores CVE padronizados e pontuações de gravidade CVSS.
- O NIST criou o NVD em 2005 como sucessor do Internet Category of Attack Toolkit, que acompanhava vulnerabilidades de software desde 1999.
- Uma vulnerabilidade entra no NVD depois que um pesquisador de segurança, fornecedor ou desenvolvedor a relata, a MITRE atribui um identificador CVE e o NIST revisa o registro e define a pontuação de gravidade.
- Em abril de 2026, o NIST migrou o NVD para um modelo de enriquecimento baseado em risco, que prioriza vulnerabilidades do catálogo Known Exploited Vulnerabilities da CISA, softwares federais e softwares críticos, em vez de todo o catálogo de submissões.
- As equipes de TI não devem depender só do NVD, já que ele pode ter atrasos de dados e cobertura incompleta. O ideal é complementá-lo com outras fontes de inteligência de ameaças.
O National Vulnerability Database (NVD) é uma fonte de informação mantida pelo governo dos Estados Unidos que cataloga vulnerabilidades de segurança em um formato padronizado e pesquisável. Reúne bancos de dados de produtos de software e hardware, suas falhas de segurança conhecidas (incluindo configurações incorretas) e a gravidade e o impacto de cada uma. O NVD é um recurso importante para profissionais de TI acompanharem possíveis riscos de segurança na infraestrutura de TI.
Este guia completo explica o que é o National Vulnerability Database e por que ele importa para a cibersegurança. Veja uma visão geral do seu funcionamento e como usá-lo nas operações de segurança de TI para avaliar, classificar e mitigar as vulnerabilidades escondidas nos seus softwares e sistemas.
Detecte, gerencie e resolva vulnerabilidades com facilidade.
📝 Comece um teste grátis do NinjaOne Vulnerability Management.
O que é o National Vulnerability Database: estrutura e componentes do NVD
O National Vulnerability Database foi criado em 2005, com financiamento do governo dos EUA, como sucessor do Internet Category of Attack Toolkit (ICAT), que catalogava vulnerabilidades de software desde 1999. Até agosto de 2026, o NVD já documentou mais de 374.000 vulnerabilidades, e o ritmo de descobertas continua acelerando.
O NVD é construído em torno de um banco de dados de vulnerabilidades e produtos afetados. Seus principais componentes e recursos são:
- Vulnerabilidades: inclui informações sobre produtos e versões de software específicas, além do Common Vulnerabilities and Exposures (CVE) de cada vulnerabilidade. Os produtos são identificados de forma única pelo Common Platform Enumeration (CPE).
- Classificações de gravidade e métricas de impacto: as pontuações do Common Vulnerability Scoring System (CVSS) e as métricas de impacto mostram a gravidade e as possíveis consequências da vulnerabilidade, incluindo o efeito sobre a confidencialidade, a integridade e a disponibilidade do produto afetado.
- Recomendações de mitigação: para cada vulnerabilidade, o NVD indica as medidas recomendadas para eliminá-la (por exemplo, com um patch de software ou uma mudança de configuração que resolva o problema) ou mitigá-la com configurações e proteções adicionais.
O NVD oferece funções de busca e filtragem para verificar se seus dispositivos e softwares têm vulnerabilidades que precisam de mitigação ou correção por patch. Além disso, o NVD mantém um repositório pesquisável de listas de verificação: diretrizes e boas práticas para produtos específicos que ajudam a proteger melhor sua infraestrutura de TI contra vetores de ataque conhecidos.
Como o NVD atua diante dos riscos de cibersegurança
Para que uma vulnerabilidade entre no NVD, primeiro um pesquisador de segurança, um fornecedor ou um desenvolvedor identifica um problema no próprio produto. Às vezes, até um usuário final comum relata uma falha em um dispositivo ou software que usa.
As possíveis vulnerabilidades são então relatadas e recebem um ID exclusivo no banco de dados CVE para rastreamento do problema. Esse relatório deve trazer detalhes da vulnerabilidade: quais produtos ela afeta, o impacto da exploração e as etapas de mitigação identificadas. Depois que o CVE é criado, o National Vulnerability Database revisa o registro, determina a gravidade, atribui um CVSS e publica tudo em seu banco de dados on-line.
Como usar o NVD na avaliação e no gerenciamento de vulnerabilidades
Para ajudar a gerenciar e mitigar vulnerabilidades de segurança de TI, pesquise ameaças relevantes no NVD, de forma manual ou com automação e produtos de segurança que consomem dados do CVE e do NVD.
O National Vulnerability Database pode ser acessado pelo site nvd.nist.gov, onde é possível buscar vulnerabilidades pelo CVE ou CPE, ou consultar listas de verificação que ajudam a reforçar as configurações de segurança dos softwares em uso.
Além da boa prática de mapear a rede e avaliar vulnerabilidades com regularidade, vale incluir a consulta ao NVD nas tarefas rotineiras de mapeamento de rede. Assim, você garante que todos os dispositivos da rede estejam com os patches em dia contra ameaças conhecidas ou que as ameaças sem correção sejam mitigadas de forma eficaz (por exemplo, com regras de firewall adicionais para endpoints específicos).
Suponha que exista um hardware legado (como equipamentos industriais ou médicos caros e difíceis de substituir) que exige uma versão específica de software sinalizada como insegura pelo NVD. Identificada a ameaça, é possível isolar a máquina, liberar acesso remoto seguro apenas quando necessário e restringir o acesso dela à rede mais ampla e à internet. Dessa forma, o sistema continua em uso sem expor a empresa a um método de ataque conhecido.
Desafios e limitações do NVD na segurança de TI
Não dá para depender apenas do NVD para entender o cenário de segurança da sua TI. Sua infraestrutura é uma combinação única de hardware e software, cada um com seus próprios desafios de configuração e vulnerabilidades de segurança, e algumas podem abrir caminho para outras.
O National Vulnerability Database também não é completo. Ele não inclui (nem tem como incluir) todas as vulnerabilidades existentes, ainda mais depois das mudanças nos processos do NIST em 2026. Muitas vulnerabilidades nunca são descobertas (nem exploradas na prática), enquanto agentes maliciosos podem encontrar falhas que não divulgam, o que permite explorá-las ativamente.
Por isso, é essencial contar com detecção e resposta a ameaças robustas e fazer avaliação e mitigação de vulnerabilidades de forma rotineira, de preferência com ferramentas que usem fontes diversas de inteligência e apliquem heurísticas para detectar códigos ou comportamentos potencialmente maliciosos.
Os dados do NVD estão atualizados em 2026?
Em abril de 2026, o NIST mudou a forma de processar novas vulnerabilidades. Diante de um volume recorde de CVEs, o NVD deixou de enriquecer todas as submissões com pontuação CVSS e lista de produtos afetados. Em vez disso, prioriza vulnerabilidades presentes no catálogo Known Exploited Vulnerabilities (KEV) da CISA, softwares usados pelo governo federal e softwares enquadrados na definição de software crítico da Ordem Executiva 14028. O restante é publicado, mas com o rótulo “Lowest Priority – not scheduled for immediate enrichment”, e pode nunca receber uma pontuação CVSS.
Ou seja, o registro do NVD para um determinado CVE pode trazer apenas detalhes básicos, sem pontuação de gravidade, principalmente no caso de publicações anteriores a 1º de março de 2026 que já não se encaixavam em alguma categoria prioritária.
O NVD ainda é confiável? E as alternativas?
O programa CVE, que alimenta o NVD, passou pelo próprio susto de financiamento em abril de 2025, quando o contrato da MITRE com o Departamento de Segurança Interna dos EUA quase venceu. A CISA estendeu o financiamento no último minuto, e um grupo de membros do quadro do CVE criou a organização sem fins lucrativos CVE Foundation como plano de contingência. Em 2026, a CISA confirmou a continuidade do financiamento do programa.
Organizações fora dos EUA também têm uma alternativa: o EU Vulnerability Database (EUVD), operado pela ENISA e no ar desde maio de 2025, sob a Diretiva NIS 2 da União Europeia. Ele faz referência cruzada aos mesmos identificadores CVE, o que dá às organizações europeias uma opção com governança regional ao lado do NVD.
Identifique vulnerabilidades antes que elas virem dor de cabeça para a TI com NinjaOne.
O futuro do National Vulnerability Database
O papel do National Vulnerability Database evoluiu e se acomodou, sobretudo com as mudanças recentes nos processos do NIST e o surgimento de métodos de detecção e resposta com inteligência artificial, capazes de consumir inteligência de ameaças e formular e aplicar automaticamente estratégias de mitigação mais adequadas ao ambiente em que operam. Isso ganhou valor diante de ameaças complexas que usam exatamente as mesmas tecnologias.
Diante de tudo isso, lembre-se: o NVD é uma boa referência inicial, mas já não é totalmente completo e deve ser usado como apenas uma entre várias fontes de dados para o gerenciamento de vulnerabilidades. Se for implantar um software de gerenciamento e proteção de endpoints, garanta que ele ofereça visibilidade suficiente para identificar com rapidez e clareza possíveis vetores de ameaça inéditos.
Quer entender melhor “O que é o National Vulnerability Database?” Assista a este guia em vídeo.
