Program CVE dan Krisis NVD: Dampaknya bagi Manajemen Kerentanan

Krisis NVD adalah dua cerita yang sering tertukar: pendanaan Program CVE yang nyaris terputus pada 2025, dan keputusan NIST pada April 2026 untuk hanya memperkaya sebagian CVE di National Vulnerability Database. Bagi tim IT di Indonesia, dampak praktisnya satu: jangan lagi menganggap data NVD selalu lengkap dan tepat waktu.

Dua Hal yang Berbeda: Program CVE dan NVD

Program CVE, yang didukung CISA dan dijalankan MITRE, menerbitkan pengenal CVE-ID untuk setiap kerentanan yang diumumkan. Sedangkan NVD, dikelola NIST, mengambil catatan CVE lalu menambahkan data pengayaan seperti skor CVSS, klasifikasi kelemahan (CWE), dan daftar produk terdampak (CPE). Jika Anda belum akrab, baca apa itu CVE dan cara membaca skor CVSS.

Banyak pemindai kerentanan, aplikasi inventaris, dan laporan kepatuhan bergantung pada pengayaan NVD. Karena itu, perubahan di NVD terasa langsung di alur kerja tim keamanan, sementara masalah pendanaan Program CVE mengancam keberadaan pengenalnya sendiri.

Isu Pendanaan Program CVE: Dari Nyaris Putus ke Aman

Menurut laporan CSO Online (9 Maret 2026), pada 2025 MITRE mengungkap bahwa kontrak yang mendukung Program CVE akan berakhir tanpa perpanjangan, dan CISA kemudian menerbitkan perpanjangan darurat selama 11 bulan. Notulen rapat dewan CVE pada 21 Januari 2026 menyebut tidak akan ada jurang pendanaan pada Maret. Menurut sumber CSO, program ini kemudian dipindahkan dari pendanaan diskresioner ke pos anggaran yang terlindungi di CISA. Nick Andersen, pelaksana tugas direktur CISA, menyatakan bahwa Program CVE "fully funded".

Ada beberapa catatan penting dari laporan yang sama:

• Kontrak antara MITRE dan CISA tidak dibuka, bahkan bagi anggota dewan CVE, dan permintaan melalui FOIA belum dijawab.
• CVE Foundation, yang dibentuk pada 2025 untuk menjajaki model tata kelola alternatif, kini menilai ulang langkah berikutnya.
• ENISA, badan keamanan siber Uni Eropa, telah meluncurkan kerangka kerentanannya sendiri, dan VulnCheck mencadangkan blok CVE-ID sebagai langkah kesinambungan.

Artinya, pendanaan saat ini tampak stabil, tetapi transparansinya terbatas. Itu alasan kuat bagi organisasi untuk tidak bergantung pada satu sumber saja.

NVD dan Perubahan Triase April 2026

Pada 15 April 2026, di konferensi VulnCon26, NIST mengumumkan NVD beralih ke pendekatan berbasis risiko, sebagaimana dilaporkan Infosecurity Magazine dan Help Net Security. Alasannya, menurut NIST, jumlah pengajuan CVE melonjak 263 persen antara 2020 dan 2025, sementara NIST sendiri memperkaya hampir 42.000 CVE pada 2025, 45 persen lebih banyak dari tahun mana pun sebelumnya.

Isi perubahannya, per 29 Oktober 2026:

• NIST memprioritaskan CVE yang ada di katalog CISA KEV (dengan target pengayaan dalam satu hari kerja), yang memengaruhi perangkat lunak yang dipakai pemerintah federal AS, atau yang termasuk perangkat lunak kritis menurut Executive Order 14028.
• CVE lain tetap masuk NVD, tetapi berstatus "Not Scheduled" dan tidak diperkaya secara rutin. CVE dalam antrean yang tanggal publikasi NVD-nya sebelum 1 Maret 2026 juga dipindahkan ke kategori "Not Scheduled", kecuali yang masuk KEV.
• NVD tidak lagi secara rutin memberikan skor CVSS terpisah bila otoritas penomoran CVE (CNA) sudah memberikan skor. Pengguna dapat meminta skor terpisah untuk CVE tertentu.
• CVE yang diubah hanya dianalisis ulang bila perubahannya material. Pengguna dapat meminta pengayaan CVE tertentu lewat email ke [email protected], dan NIST menjadwalkannya sesuai ketersediaan sumber daya.

Dampak bagi Manajemen Kerentanan di Organisasi

Konsekuensi paling nyata adalah risiko celah data. Pemindai yang mengandalkan CPE dari NVD dapat tidak mengenali produk terdampak pada CVE yang tidak diperkaya, sehingga muncul negatif palsu: kerentanan ada, tetapi tidak muncul di laporan. Risiko ini paling besar bagi tim yang memakai data NVD sebagai satu-satunya sumber.

Sisi baiknya, KEV tetap diprioritaskan, dan itu selaras dengan praktik terbaik: kerentanan yang sudah dieksploitasi memang yang harus ditambal lebih dahulu. Pelajari pemakaiannya di CISA KEV untuk prioritas patch.

Alternatif dan Sumber Pelengkap

Sebaiknya gabungkan beberapa sumber data kerentanan, bukan satu.

1. Catatan CVE di CVE.org. CNA, termasuk vendor, dapat menyertakan skor dan daftar produk terdampak langsung pada catatan CVE; skor CNA inilah yang kini menjadi acuan utama NVD.
2. Advisori vendor. Ini sumber paling cepat dan paling spesifik untuk versi terdampak dan versi perbaikan.
3. CISA KEV. Penanda eksploitasi nyata yang tidak bergantung pada pengayaan NVD.
4. Basis data ekosistem. Misalnya OSV dan GitHub Advisory Database untuk paket open source, atau RustSec untuk Rust.
5. EUVD dari ENISA. European Vulnerability Database yang dikelola ENISA mengumpulkan, memperkaya, dan memublikasikan kerentanan yang diketahui, sehingga berguna sebagai sumber tambahan.

Di sisi proses, terapkan patch management berbasis risiko: gabungkan status eksploitasi, paparan aset, dan kritikalitas bisnis, bukan hanya skor CVSS dari satu basis data. Jangan lupa catat sumber data yang dipakai pemindai Anda dan pastikan tim tahu bila sumber itu berubah.

Langkah Praktis untuk Tim Keamanan dan TI

• Periksa sumber data pemindai. Tanyakan kepada vendor atau tim internal apakah pemindai membaca CPE dari NVD, dari catatan CVE, atau dari basis data milik vendor sendiri, dan bagaimana perilakunya saat sebuah CVE belum diperkaya.
• Jangan menunda patch hanya karena skor belum ada. CVE tanpa skor NVD bukan berarti tidak berbahaya. Cek advisori vendor dan status KEV lebih dahulu.
• Dokumentasikan pengecualian. Untuk kepatuhan, catat sumber skor yang dipakai pada setiap keputusan prioritas agar bisa dipertanggungjawabkan saat audit.
• Langganan umpan advisori. Ikuti saluran keamanan vendor yang produknya Anda pakai, serta basis data ekosistem untuk dependensi open source.

Garis Waktu Singkat

• April 2025: MITRE memperingatkan jalur kontrak Program CVE berakhir pada 16 April; CISA kemudian memberi perpanjangan darurat 11 bulan.
• 21 Januari 2026: notulen dewan CVE menyebut tidak ada jurang pendanaan pada Maret.
• 9 Maret 2026: CSO melaporkan Program CVE dipindahkan ke pos anggaran terlindungi CISA.
• 15 April 2026: NIST mengumumkan triase berbasis risiko untuk NVD.

Baca juga: Operation Endgame dan Operation Killswitch: Penindakan Global terhadap Malware dan Ransomware.

Pertanyaan yang Sering Diajukan

Apakah Program CVE akan berhenti?

Berdasarkan laporan per Maret 2026, pendanaannya dinyatakan aman oleh pejabat CISA. Namun kontraknya tidak dibuka ke publik, sehingga kewaspadaan tetap wajar.

Apakah NVD masih bisa dipakai?

Masih, tetapi tidak semua CVE akan memiliki data pengayaan. Gunakan NVD bersama sumber lain, terutama advisori vendor dan KEV.

Apakah skor CVSS dari NVD masih ada?

Untuk CVE yang sudah diberi skor oleh CNA, NVD tidak lagi secara rutin membuat skor terpisah. Skor dari CNA menjadi acuan, dan Anda dapat meminta skor NVD untuk CVE tertentu lewat email.

Kesimpulan

Krisis NVD bukan akhir dari data kerentanan publik, melainkan pengingat bahwa ia adalah infrastruktur bersama dengan sumber pendanaan terbatas. Diversifikasi sumber, prioritaskan KEV, dan audit asumsi pemindai Anda. Jika Anda ingin menilai apakah proses manajemen kerentanan organisasi sudah tahan terhadap perubahan seperti ini, Linuxhackingid menyediakan layanan asesmen kerentanan yang dapat disesuaikan.