Trendy v publikaci CVE

V roce 2025 bylo zveřejněno 47 801 záznamů CVE, o 20 % více než v předchozím roce. Rok 2026 už dosáhl 95 494, a to ještě několik měsíců zbývá.

Objem rostl každý rok od vzniku CVE Program, ale tempo růstu se v roce 2026 prudce změnilo. Trend podle měsíců, čtvrtletí nebo let ukazuje graf výše.

Na této stránce. Graf a čísla výše jsou statistiky CVE, které se denně znovu sestavují z repozitáře cvelistV5 programu CVE Program, tedy ze stejného zdroje, ze kterého CVE Program publikuje.

Pokrývají objem publikace podle závažnosti CVSS, podle přidělující organizace a podle týdnů, měsíců, čtvrtletí nebo let, spolu s nejnovějšími kritickými záznamy. Podrobnosti o jednotlivé zranitelnosti najdete přes kterýkoli identifikátor na cve.org.

Dějí se najednou tři věci a ze zveřejněných záznamů je od sebe oddělit nelze.

ID CVE dnes může přidělovat víc organizací, takže se zaznamenávají zranitelnosti, které dřív nikdy registrovány nebyly. Automatizované a AI asistované hledání zranitelností zvýšilo, kolik toho dokáže najít jediný výzkumník. A obohacovací program CISA zpětně doplnil podrobnosti ke starším záznamům, což dodatečně mění historická čísla.

Rostoucí počty CVE proto samy o sobě nedokazují, že software je méně bezpečný. Mění ale to, kolik práce zabere ruční proces: viz co automatizovat, když počty CVE dál rostou.

CNA je organizace oprávněná přidělovat ID CVE a zveřejňovat záznamy ve svém vlastním rozsahu, obvykle pro své vlastní produkty. Počet CNA v této datové sadě: 505.

Jako CNA působí dodavatelé, open source projekty, platformy bug bounty i národní CERT. Největší je zde mitre se záznamy v počtu 39 628. Protože změna procesu u jediné CNA může znatelně pohnout celkovými čísly, graf umožňuje filtrovat vždy na jednu organizaci.

CVSS hodnotí zranitelnost od 0,0 do 10,0 a řadí ji do pásem: Nízká (0,1–3,9), Střední (4,0–6,9), Vysoká (7,0–8,9) a Kritická (9,0–10,0).

Skóre popisuje vnitřní technické vlastnosti, například jak se ke zranitelnosti dá dostat a co kompromituje. Není to míra toho, jak velkému riziku je vystavena konkrétní organizace.

17.4% záznamů zveřejněných od roku 2020 nemá skóre CVSS ani ve vlastních datech CNA, ani v obohacení CISA.

Po většinu historie programu CVE Program nebylo hodnocení povinné. Pokrytí se od roku 2023 prudce zlepšuje a dnes je téměř úplné, takže zmenšující se pásmo Neznámá v grafu odráží změnu v praxi vykazování, ne změnu samotných zranitelností. Každá analýza, která záznamy bez skóre ignoruje, starší roky podhodnotí.

Zranitelnost je chyba v softwaru. CVE je veřejný identifikátor přidělený konkrétnímu zveřejněnému výskytu takové chyby.

Většina zranitelností CVE nikdy nedostane: najdou se a opraví interně, nebo spadají mimo rozsah jakékoli CNA. Počty CVE proto měří aktivitu zveřejňování, ne skutečné množství existujících chyb.

Každé číslo je sestaveno z oficiálního repozitáře cvelistV5 programu CVE Program, ze snímku pořízeného 12. 11. 2026 UTC.

Záznamy se počítají podle data zveřejnění, ne podle roku v ID CVE, protože zhruba pětina záznamů vychází v jiném roce, než jaký uvádí jejich identifikátor. Zamítnuté a stažené záznamy jsou vyloučeny.

Samo o sobě ne. Kritická zranitelnost v komponentě, kterou vydáváte, ale nikdy nevoláte, může být méně naléhavá než zranitelnost se střední závažností ve vašem veřejném API.

Skutečná prioritizace potřebuje vědět, zda je dotčená komponenta ve vašem softwaru přítomna, zda je zranitelný kód dosažitelný a zda je zranitelnost aktivně zneužívána. CVSS neodpovídá na žádnou z těchto otázek.

CRA požaduje, aby výrobci řešili zranitelnosti po celou dobu podpory produktu, oznamovali aktivně zneužívané zranitelnosti agentuře ENISA do 24 hodin od okamžiku, kdy se o nich dozvědí, a udržovali technickou dokumentaci aktuální.

Tyto povinnosti rostou s objemem v tomto grafu. Ručně třídit desítky tisíc nových záznamů ročně proti vlastnímu softwaru není reálné, a proto CRA fakticky předpokládá SBOM a automatizovaný proces párování.

Potřebujete přesný inventář toho, co váš software obsahuje, a poté průběžné párování tohoto inventáře s feedem CVE.

CRACI vygeneruje SBOM z vašeho buildu, páruje ji s novými záznamy CVE, jakmile vyjdou, a ukazuje jen ta bezpečnostní upozornění, která se dotýkají kódu, který skutečně vydáváte – spolu s dokumentací, kterou od vás CRA očekává.

Podívejte se, jak v praxi funguje sledování zranitelností, co kolem něj automatizovat a jak omezit šum v tom, co zbude.