CVE

CVE znamená Common Vulnerabilities and Exposures. CVE je jedinečný identifikátor, například CVE-2024-3094, přidělený jedné veřejně zveřejněné bezpečnostní zranitelnosti, s krátkým záznamem, který ji popisuje. Program CVE vydává identifikátory prostřednictvím stovek autorit CVE Numbering Authorities. CVE říká, o kterou zranitelnost jde; neříká, jak je závažná ani jak ji opravit.

Jak vypadá identifikátor CVE

Identifikátor CVE má tvar CVE-YYYY-NNNN: prefix, rok a pořadové číslo o čtyřech nebo více číslicích. CVE-2021-44228 je Log4Shell v Apache Log4j; CVE-2024-3094 jsou zadní vrátka v kompresní knihovně xz.

Rok je rokem, kdy byl identifikátor rezervován nebo kdy byla zranitelnost zveřejněna, ne nutně rokem, kdy byla nalezena nebo opravena. Identifikátor rezervovaný v prosinci a zveřejněný v únoru si ponechá dřívější rok, a proto se CVE „z roku 2025“ může objevit v roce 2026.

Kdo přiděluje identifikátory CVE

Program CVE vznikl v roce 1999. Sponzoruje ho americká agentura Cybersecurity and Infrastructure Security Agency (CISA), provozuje ho MITRE jako jeho sekretariát a řídí ho CVE Board.

Identifikátory přidělují CVE Numbering Authorities (CNA): dodavatelé softwaru, open source projekty, týmy CERT, platformy bug bounty a výzkumné firmy, každá pro dohodnutý rozsah, obvykle vlastní produkty. Microsoft přiděluje identifikátory pro produkty Microsoftu, projekt linuxového jádra pro jádro, GitHub pro projekty, které hlásí přes GitHub. Seznam partnerů CVE obsahuje více než 500 organizací. Roots a Top-Level Roots (MITRE a CISA) získávají a dozorují CNA a CNA of Last Resort přebírá hlášení, která nepokrývá žádná jiná CNA. Authorized Data Publishers (ADP) doplňují informace do záznamů publikovaných jinými; ADP agentury CISA přidává data jako rozhodovací body SSVC a stav KEV.

Pokud potřebujete identifikátor pro zranitelnost ve vlastním produktu, přečtěte si identifikátory CVE a CNA.

Životní cyklus záznamu CVE

1. Zranitelnost je nalezena a nahlášena dodavateli nebo CNA.
2. CNA rezervuje identifikátor, často ještě v době embarga a předtím, než existuje oprava.
3. CNA publikuje záznam: popis, dotčené produkty a verze a reference. Může přidat skóre CVSS a CWE.
4. Ostatní záznam obohacují: ADP doplňují data do záznamu a navazující databáze jako NVD, EUVD a linuxové distribuce přidávají vlastní skóre, názvy produktů a stav oprav.
5. Záznam lze později aktualizovat nebo zamítnout, pokud se ukáže, že jde o duplikát nebo o zranitelnost nejde.

Záznamy používají formát CVE JSON 5 a publikují se v repozitáři cvelistV5, z jehož dat vycházejí naše trendy publikace CVE.

CVE vs. CVSS vs. CWE vs. NVD vs. EUVD

Pojem	Co to je	Kdo ho spravuje	Příklad	Odpovídá na otázku
CVE	Identifikátor a záznam pro jednu zranitelnost	Program CVE	CVE-2024-3094	Která zranitelnost?
CVSS	Skóre závažnosti od 0 do 10, vektor	FIRST	10.0 Critical	Jak vážné obecně?
CWE	Katalog typů slabin	MITRE	CWE-79 (XSS)	Jaký druh chyby?
NVD	Databáze, která obohacuje záznamy CVE	NIST	CVSS, CWE, CPE	Které produkty, jak vážné?
EUVD	Evropská databáze zranitelností	ENISA	EUVD-2025-4893	Pohled EU na tentýž problém
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Které verze balíčků?
OSV	Otevřený formát a databáze bezpečnostních upozornění	OpenSSF, Google	Shromažďuje GHSA a další	Které verze balíčků?

• CVSS (FIRST, od listopadu 2023 verze 4.0) měří závažnost, ne riziko. Jedna CVE může nést několik skóre: jedno od CNA, jedno od NVD, jedno od distribuce.
• CWE (cwe.mitre.org) klasifikuje chybu za zranitelností, například cross-site scripting nebo zápis mimo hranice. Mnoho CVE sdílí jednu CWE.
• NVD není seznam CVE. National Vulnerability Database institutu NIST přebírá publikované záznamy CVE a přidává analýzu, včetně názvů CPE, podle nichž skenery párují produkty. CVE existuje, jakmile ji její CNA publikuje, bez ohledu na to, zda ji NVD obohatila.
• EUVD je databáze agentury ENISA, v provozu od 13. května 2025 (ENISA). Každému záznamu dává identifikátor EUVD a identifikátory CVE a GHSA uvádí jako aliasy. ENISA je od ledna 2024 také CNA. Podle CRA mohou být opravené zranitelnosti oznámené přes Single Reporting Platform později zveřejněny v EUVD.
• GHSA a OSV jsou klíčované podle ekosystému a balíčku, ne podle produktu, takže odpovídají přímo package URL komponenty.

Nad CVE stojí ještě dva signály: zda je zneužívána (CISA KEV) a jak pravděpodobné je zneužití (EPSS). Jak je týmy kombinují, popisuje prioritizace zranitelností.

Proč se stejná CVE ve skenu objevuje mnohokrát

Skener hlásí nálezy, ne CVE. Z jedné CVE se stane mnoho nálezů, když stejnou knihovnu obsahuje několik komponent, když ji dodává několik produktů nebo image, nebo když ji dva nástroje hlásí pod různými identifikátory. „400 CVE“ v reportu je často mnohem méně odlišných zranitelností; viz jak snížit šum výstrah u zranitelností.

2025 a 2026: obavy o financování a změny v NVD

• Duben 2025. MITRE oznámila CVE Board, že její smlouva na provoz programu vyprší 16. dubna. CISA ji přes noc prodloužila o 11 měsíců (The Record) a uvedla, že šlo o problém se správou smlouvy, ne s financováním. Členové CVE Board ohlásili CVE Foundation, neziskovou organizaci, která má programu zajistit nezávislou správu. Záznamy CVE se od té doby publikují bez přerušení, až do listopadu 2026.
• Květen 2025. ENISA spustila EUVD, o které se široce psalo jako o cestě, jak by Evropa mohla méně záviset na jediném programu provozovaném v USA.
• NVD. V dubnu 2025 NIST označil CVE publikované před rokem 2018, které stále čekaly na obohacení, jako odložené. Od 15. dubna 2026 obohacuje pouze CVE, které splňují prioritní kritéria, přednostně záznamy CISA KEV, a ostatní označuje „Lowest Priority - not scheduled for immediate enrichment“ (NIST). Nástroje, které párují pouze podle dat CPE z NVD, teď vidí více mezer; párování podle balíčku (OSV, GHSA, package URL) na NVD závisí méně.

Kolik CVE se publikuje

Program CVE publikoval 39 718 záznamů v roce 2024 a 47 801 v roce 2025 a tempo dál roste. Počet za aktuální rok, po týdnech a podle CNA, najdete na stránce trendy publikace CVE; co tento objem znamená pro malý tým, popisuje automatizace správy zranitelností. Nedávné případy s vlastními stránkami najdete v sekci zranitelnosti.

CVE a váš software

Zjistit, které CVE se vás týkají, začíná tím, že víte, které komponenty a verze každý build skutečně obsahuje: viz SBOM z doby buildu a týká se nás CVE?. Opravu popisuje náprava CVE, zranitelnosti, pro které zatím oprava neexistuje, zero-day zranitelnost a širší proces správa zranitelností. CVE popisuje zranitelnost, ne exploit: mnoho CVE není nikdy zneužito.

CRACI porovnává komponenty zaznamenané v každém buildu se zveřejněnými zranitelnostmi a znovu je vyhodnocuje, jak se objevují nové CVE.