CVE

CVE står for Common Vulnerabilities and Exposures. En CVE er en unik identifikator, for eksempel CVE-2024-3094, der tildeles én offentligt kendt sikkerhedssårbarhed sammen med en kort post, der beskriver den. CVE-programmet udsteder id'erne gennem hundredvis af CVE Numbering Authorities. En CVE siger, hvilken sårbarhed det drejer sig om; den siger ikke, hvor alvorlig den er, eller hvordan den rettes.

Hvordan et CVE-id ser ud

Et CVE-id har formen CVE-YYYY-NNNN: præfikset, et årstal og et løbenummer på fire eller flere cifre. CVE-2021-44228 er Log4Shell i Apache Log4j; CVE-2024-3094 er bagdøren i komprimeringsbiblioteket xz.

Årstallet er det år, id'et blev reserveret, eller sårbarheden blev offentlig, ikke nødvendigvis det år, den blev fundet eller rettet. Et id, der reserveres i december og offentliggøres i februar, beholder det tidligere år, og derfor kan en "2025-CVE" dukke op i 2026.

Hvem tildeler CVE-id'er

CVE-programmet blev grundlagt i 1999. Det sponsoreres af den amerikanske myndighed Cybersecurity and Infrastructure Security Agency (CISA), drives af MITRE som sekretariat og ledes af en CVE Board.

Id'er tildeles af CVE Numbering Authorities (CNA'er): softwareleverandører, open source-projekter, CERT'er, bug bounty-platforme og forskningsvirksomheder, hver for et aftalt område, typisk deres egne produkter. Microsoft tildeler id'er til Microsofts produkter, Linux-kerneprojektet til kernen, GitHub til projekter, der rapporterer via GitHub. CVE's partnerliste omfatter mere end 500 organisationer. Roots og Top-Level Roots (MITRE og CISA) rekrutterer og fører tilsyn med CNA'er, og en CNA of Last Resort tager rapporter, som ingen anden CNA dækker. Authorized Data Publishers (ADP'er) tilføjer oplysninger til poster, som andre har offentliggjort; CISA's ADP tilføjer for eksempel SSVC-beslutningspunkter og KEV-status.

Har du brug for et id til en sårbarhed i dit eget produkt, så se CVE-id'er og CNA'er.

En CVE-posts livscyklus

1. En sårbarhed bliver fundet og rapporteret til leverandøren eller til en CNA.
2. CNA'en reserverer et id, ofte mens sårbarheden stadig er under embargo, og før der findes en rettelse.
3. CNA'en offentliggør posten: en beskrivelse, de berørte produkter og versioner samt referencer. Den kan tilføje en CVSS-score og en CWE.
4. Andre beriger den: ADP'er tilføjer data til posten, og downstream-databaser som NVD, EUVD og Linux-distributioner tilføjer deres egne scorer, produktnavne og rettelsesstatus.
5. Posten kan senere blive opdateret eller afvist, hvis den viser sig at være en dublet eller ikke en sårbarhed.

Posterne bruger formatet CVE JSON 5 og offentliggøres i repositoriet cvelistV5, som er datakilden bag vores tendenser for CVE-offentliggørelser.

CVE vs. CVSS vs. CWE vs. NVD vs. EUVD

Term	Hvad det er	Drives af	Eksempel	Svarer på
CVE	Id og post for én sårbarhed	CVE-programmet	CVE-2024-3094	Hvilken sårbarhed?
CVSS	Alvorlighedsscore fra 0 til 10, med vektor	FIRST	10.0 Critical	Hvor slemt, generelt?
CWE	Katalog over typer af svagheder	MITRE	CWE-79 (XSS)	Hvilken slags fejl?
NVD	Database, der beriger CVE-poster	NIST	CVSS, CWE, CPE	Hvilke produkter, hvor alvorligt?
EUVD	Europæisk sårbarhedsdatabase	ENISA	EUVD-2025-4893	EU's syn på det samme problem
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Hvilke pakkeversioner?
OSV	Åbent format og advisory-database	OpenSSF, Google	Samler GHSA og andre	Hvilke pakkeversioner?

• CVSS (FIRST, version 4.0 siden november 2023) måler alvorlighed, ikke risiko. Én CVE kan have flere scorer: én fra CNA'en, én fra NVD, én fra en distribution.
• CWE (cwe.mitre.org) klassificerer fejlen bag en sårbarhed, for eksempel cross-site scripting eller skrivning uden for grænserne. Mange CVE'er deler én CWE.
• NVD er ikke CVE-listen. NIST's National Vulnerability Database tager offentliggjorte CVE-poster og tilføjer analyse, herunder de CPE-navne, som scannere bruger til at matche produkter. En CVE findes, så snart dens CNA offentliggør den, uanset om NVD har beriget den eller ej.
• EUVD er ENISA's database, i drift siden 13. maj 2025 (ENISA). Den giver hver post et EUVD-id og angiver CVE- og GHSA-id'erne som aliaser. ENISA har desuden været CNA siden januar 2024. Under CRA kan rettede sårbarheder, der er indberettet via Single Reporting Platform, senere blive offentliggjort i EUVD.
• GHSA og OSV er organiseret efter økosystem og pakke frem for produkt og passer derfor direkte til en komponents package URL.

To yderligere signaler bygger oven på en CVE: om den bliver udnyttet (CISA KEV), og hvor sandsynligt det er, at den bliver det (EPSS). Hvordan teams kombinerer dem, står i prioritering af sårbarheder.

Hvorfor den samme CVE dukker op mange gange i en scanning

En scanner rapporterer fund, ikke CVE'er. Én CVE bliver til mange fund, når flere komponenter indeholder det samme bibliotek, når flere produkter eller images leverer det, eller når to værktøjer rapporterer det under forskellige id'er. "400 CVE'er" i en rapport er ofte langt færre forskellige sårbarheder; se mindsk sårbarhedsstøjen.

2025 og 2026: finansieringsskrækken og ændringer i NVD

• April 2025. MITRE meddelte CVE Board, at kontrakten om at drive programmet udløb den 16. april. CISA forlængede den natten over med 11 måneder (The Record) og sagde, at der var tale om kontraktadministration, ikke finansiering. Medlemmer af CVE Board annoncerede CVE Foundation, en nonprofitorganisation, der skal give programmet en uafhængig ledelse. CVE-poster er siden blevet offentliggjort uden afbrydelse, frem til november 2026.
• Maj 2025. ENISA lancerede EUVD, som bredt blev beskrevet som en måde for Europa at blive mindre afhængig af ét amerikansk drevet program.
• NVD. I april 2025 markerede NIST CVE'er offentliggjort før 2018, der stadig ventede på berigelse, som udskudte. Siden 15. april 2026 beriger NIST kun CVE'er, der opfylder prioritetskriterier, med poster i CISA KEV først, og mærker resten "Lowest Priority - not scheduled for immediate enrichment" (NIST). Værktøjer, der kun matcher på NVD's CPE-data, ser nu flere huller; matchning pr. pakke (OSV, GHSA, package URLs) afhænger mindre af NVD.

Hvor mange CVE'er der offentliggøres

CVE-programmet offentliggjorde 39.718 poster i 2024 og 47.801 i 2025, og tempoet stiger fortsat. Tallet for det indeværende år, pr. uge og pr. CNA, står under tendenser for CVE-offentliggørelser; hvad den mængde betyder for et lille team, står i automatisering af sårbarhedsstyring. Aktuelle sager med egen side findes under sårbarheder.

CVE'er og din software

At vide, hvilke CVE'er der rammer dig, begynder med at vide, hvilke komponenter og versioner hvert build faktisk indeholder: se build-time SBOM'er og er vi ramt af en CVE?. Rettelsen står i CVE-afhjælpning, sårbarheder uden rettelse i zero-day-sårbarhed og den samlede proces i sårbarhedsstyring. En CVE beskriver en sårbarhed, ikke et exploit: mange CVE'er bliver aldrig udnyttet.

CRACI matcher de komponenter, der er registreret i hvert build, mod offentliggjorte sårbarheder og revurderer dem, når nye CVE'er dukker op.