CPE

Common Platform Enumeration (CPE) er et struktureret navngivningsskema for it-produkter inden for cybersikkerhed: applikationer, operativsystemer og hardware. Version 2.3 er specificeret af NIST i NISTIR 7695 (august 2011). National Vulnerability Database (NVD) bruger CPE-navne til at angive, hvilke produkter en CVE rammer, og vedligeholder den officielle CPE-ordbog.

Formatet CPE 2.3

Et CPE 2.3-navn har 11 attributter efter præfikset cpe:2.3: part, vendor, product, version, update, edition, language, sw_edition, target_sw, target_hw og other. Delen (part) er a for en applikation, o for et operativsystem og h for hardware. En * betyder en vilkårlig værdi, og en - betyder ikke relevant.

cpe:2.3:a:microsoft:internet_explorer:8.0.6001:beta:*:*:*:*:*:*
cpe:2.3:a:lodash:lodash:4.17.20:*:*:*:*:node.js:*:*
cpe:2.3:h:raspberrypi:raspberry_pi_4_model_b:-:*:*:*:*:*:*:*

Den første er eksemplet fra specifikationen. Den anden er npm-biblioteket lodash med node.js som målsoftware. Den tredje er et stykke hardware. Alle tre findes i NVD's ordbog.

Hvordan CPE-matchning fungerer, og hvor den går galt

En NVD-post angiver de CPE'er, en CVE gælder for, ofte med versionsintervaller. En scanner gør hver komponent i en SBOM til et CPE-gæt og sammenligner. Tre ting går galt:

• Tvetydige navne. Ordbogens leverandør og produkt svarer ikke altid til, hvad pakken hedder i sit økosystem. Biblioteket xz er cpe:2.3:a:tukaani:xz, mens Debian leverer det som pakken xz-utils. Et gæt bygget på pakkenavnet rammer det forkerte produkt eller intet.
• For brede intervaller. En anvendelighedsangivelse kan dække versioner eller platforme, der ikke er berørt, for eksempel alle versioner af et produkt, selv om kun én build-konfiguration var berørt. Hver komponent, der matcher, bliver et fund, der skal triageres.
• Manglende data. NIST skriver, at "NVD fra begyndelsen af 2024 opbyggede en betydelig efterslæb af CVE'er, der ikke var beriget". Siden 15. april 2026 beriger NVD CVE'er efter prioritet (først poster i CISA KEV, software, som den amerikanske føderale forvaltning bruger, og kritisk software efter EO 14028) og mærker resten "Lowest Priority - not scheduled for immediate enrichment" (NIST). CVE Numbering Authorities kan levere berørte produkter, inklusive CPE'er, i CVE-posten, og NVD har siden juni 2026 taget disse data fra CNA'er og ADP'er med i sine poster, men dækningen varierer fra CNA til CNA. Yocto Projects release notes til 5.2 siger det ligeud: med CPE-baserede kontroller bliver "nogle sårbarheder simpelthen ikke rapporteret".

At matche det forkerte produkt er en kilde til falske positiver; se mindsk sårbarhedsstøjen.

CPE vs. Package URL

	Package URL	CPE
Hvem bestemmer navnet	Pakkens økosystem	NVD's CPE-ordbog
Identificerer	En pakke i et register eller en distribution	Et produkt, inklusive hardware og operativsystemer
Format	pkg:type/namespace/name@version	cpe:2.3:part:vendor:product:version:...
Standard	ECMA-427	NISTIR 7695 (CPE 2.3)
Bruges af	OSV, GitHub-advisories, SBOM-værktøjer	NVD, mange scannere
Typisk fejl	Mangler for vendoret eller håndlistet kode	Tvetydige leverandør- og produktnavne; ingen CPE-data for mange nye CVE'er

Brug en package URL, hvor der findes et pakkeøkosystem, en CPE til kommercielle produkter, firmware og hardware, og begge, hvor et krav beder om begge. CISA's 2026 Minimum Elements nævner CPE og Package-URL som almindelige identifikatorer, og BSI TR-03183-2 kræver sådanne identifikatorer for hver komponent, hvor de findes.

CPE'er i SBOM'er

CycloneDX har et felt cpe på hver komponent, og SPDX angiver CPE'er som eksterne identifikatorer. Hvis du er leverandør, så angiv den CPE, NVD faktisk bruger til dit produkt (slå den op i ordbogen), i stedet for at opfinde en: en opfundet CPE matcher ingenting. Identifikatorer er én del af en SBOM's feltkvalitet; om noget mangler på listen, er et separat spørgsmål, SBOM-fuldstændighed.

CRACI identificerer hver pakke, et build henter, ud fra dens package URL. Se build-time SBOM'er.