CVE

CVE steht für Common Vulnerabilities and Exposures. Eine CVE ist eine eindeutige Kennung wie CVE-2024-3094, die einer einzelnen öffentlich offengelegten Sicherheitslücke zugewiesen wird, zusammen mit einem kurzen Eintrag, der sie beschreibt. Das CVE-Programm vergibt die IDs über Hunderte CVE Numbering Authorities. Eine CVE sagt, um welche Schwachstelle es geht; sie sagt nicht, wie schwer sie wiegt oder wie man sie behebt.

Wie eine CVE-ID aussieht

Eine CVE-ID hat die Form CVE-YYYY-NNNN: das Präfix, ein Jahr und eine laufende Nummer mit vier oder mehr Ziffern. CVE-2021-44228 ist Log4Shell in Apache Log4j; CVE-2024-3094 ist die Hintertür in der Kompressionsbibliothek xz.

Das Jahr ist das Jahr, in dem die ID reserviert oder die Schwachstelle öffentlich wurde, nicht unbedingt das Jahr ihrer Entdeckung oder Behebung. Eine im Dezember reservierte und im Februar veröffentlichte ID behält das frühere Jahr; deshalb kann eine „2025er“ CVE erst 2026 auftauchen.

Wer CVE-IDs vergibt

Das CVE-Programm wurde 1999 gegründet. Es wird von der US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) gefördert, von MITRE als Sekretariat betrieben und von einem CVE Board gesteuert.

IDs vergeben CVE Numbering Authorities (CNAs): Softwarehersteller, Open-Source-Projekte, CERTs, Bug-Bounty-Plattformen und Forschungsfirmen, jeweils für einen vereinbarten Bereich, typischerweise die eigenen Produkte. Microsoft vergibt IDs für Microsoft-Produkte, das Linux-Kernel-Projekt für den Kernel, GitHub für Projekte, die über GitHub melden. Die CVE-Partnerliste umfasst mehr als 500 Organisationen. Roots und Top-Level Roots (MITRE und CISA) gewinnen und beaufsichtigen CNAs, und eine CNA of Last Resort übernimmt Meldungen, für die keine andere CNA zuständig ist. Authorized Data Publishers (ADPs) ergänzen Informationen in Einträgen, die andere veröffentlicht haben; der ADP der CISA ergänzt etwa SSVC-Entscheidungspunkte und den KEV-Status.

Wenn Sie eine ID für eine Schwachstelle in Ihrem eigenen Produkt brauchen, siehe CVE-IDs und CNAs.

Der Lebenszyklus eines CVE-Eintrags

1. Eine Schwachstelle wird gefunden und dem Hersteller oder einer CNA gemeldet.
2. Die CNA reserviert eine ID, oft solange die Schwachstelle noch unter Embargo steht und bevor es einen Fix gibt.
3. Die CNA veröffentlicht den Eintrag: eine Beschreibung, die betroffenen Produkte und Versionen und Referenzen. Sie kann einen CVSS-Score und eine CWE ergänzen.
4. Andere reichern ihn an: ADPs ergänzen Daten im Eintrag, und nachgelagerte Datenbanken wie die NVD, die EUVD und Linux-Distributionen fügen eigene Scores, Produktnamen und den Fix-Status hinzu.
5. Der Eintrag kann später aktualisiert oder zurückgewiesen werden, wenn er sich als Duplikat oder als keine Schwachstelle herausstellt.

Einträge verwenden das Format CVE JSON 5 und werden im Repository cvelistV5 veröffentlicht, auf dem auch unsere CVE-Veröffentlichungstrends beruhen.

CVE vs. CVSS vs. CWE vs. NVD vs. EUVD

Begriff	Was es ist	Betrieben von	Beispiel	Beantwortet
CVE	ID und Eintrag für eine Schwachstelle	CVE-Programm	CVE-2024-3094	Welche Schwachstelle?
CVSS	Schweregrad von 0 bis 10, mit Vektor	FIRST	10.0 Critical	Wie schlimm, allgemein?
CWE	Katalog von Schwachstellentypen	MITRE	CWE-79 (XSS)	Welche Art von Fehler?
NVD	Datenbank, die CVE-Einträge anreichert	NIST	CVSS, CWE, CPE	Welche Produkte, wie schwer?
EUVD	Europäische Schwachstellendatenbank	ENISA	EUVD-2025-4893	Die EU-Sicht auf dasselbe Problem
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Welche Paketversionen?
OSV	Offenes Format und Advisory-Datenbank	OpenSSF, Google	Sammelt GHSA und andere	Welche Paketversionen?

• CVSS (FIRST, Version 4.0 seit November 2023) misst den Schweregrad, nicht das Risiko. Eine CVE kann mehrere Scores tragen: einen von der CNA, einen von der NVD, einen von einer Distribution.
• CWE (cwe.mitre.org) klassifiziert den Fehler hinter einer Schwachstelle, etwa Cross-Site-Scripting oder einen Schreibzugriff außerhalb der Grenzen. Viele CVEs teilen sich eine CWE.
• Die NVD ist nicht die CVE-Liste. Die National Vulnerability Database des NIST nimmt veröffentlichte CVE-Einträge und ergänzt Analysen, darunter die CPE-Namen, mit denen Scanner Produkte zuordnen. Eine CVE existiert, sobald ihre CNA sie veröffentlicht, ob die NVD sie angereichert hat oder nicht.
• Die EUVD ist die Datenbank der ENISA, in Betrieb seit dem 13. Mai 2025 (ENISA). Sie gibt jedem Eintrag eine EUVD-ID und führt die CVE- und GHSA-IDs als Aliase. Die ENISA ist außerdem seit Januar 2024 eine CNA. Nach dem CRA können behobene Schwachstellen, die über die einheitliche Meldeplattform gemeldet wurden, später in der EUVD offengelegt werden.
• GHSA und OSV sind nach Ökosystem und Paket statt nach Produkt organisiert und passen deshalb direkt zur Package URL einer Komponente.

Zwei weitere Signale setzen auf einer CVE auf: ob sie ausgenutzt wird (CISA KEV) und wie wahrscheinlich eine Ausnutzung ist (EPSS). Wie Teams sie kombinieren, beschreibt Schwachstellen-Priorisierung.

Warum dieselbe CVE in einem Scan mehrfach auftaucht

Ein Scanner meldet Befunde, keine CVEs. Aus einer CVE werden viele Befunde, wenn mehrere Komponenten dieselbe Bibliothek mitbringen, wenn mehrere Produkte oder Images sie ausliefern oder wenn zwei Tools sie unter verschiedenen IDs melden. „400 CVEs“ in einem Bericht sind oft weit weniger verschiedene Schwachstellen; siehe Schwachstellen-Rauschen reduzieren.

2025 und 2026: die Finanzierungskrise und Änderungen bei der NVD

• April 2025. MITRE teilte dem CVE Board mit, dass sein Vertrag für den Betrieb des Programms am 16. April auslaufe. Die CISA verlängerte ihn über Nacht um 11 Monate (The Record) und erklärte, es habe sich um eine Frage der Vertragsverwaltung gehandelt, nicht der Finanzierung. Mitglieder des CVE Board kündigten die CVE Foundation an, eine gemeinnützige Organisation, die dem Programm eine unabhängige Steuerung geben soll. CVE-Einträge werden seitdem ohne Unterbrechung veröffentlicht, bis November 2026.
• Mai 2025. Die ENISA startete die EUVD, vielfach als Weg beschrieben, mit dem Europa weniger von einem einzigen US-geführten Programm abhängt.
• NVD. Im April 2025 markierte das NIST vor 2018 veröffentlichte CVEs, die noch auf Anreicherung warteten, als zurückgestellt. Seit dem 15. April 2026 reichert es nur CVEs an, die Prioritätskriterien erfüllen, zuerst Einträge im CISA KEV, und kennzeichnet den Rest als „Lowest Priority - not scheduled for immediate enrichment“ (NIST). Tools, die nur auf den CPE-Daten der NVD abgleichen, sehen jetzt mehr Lücken; der Abgleich über Pakete (OSV, GHSA, Package URLs) hängt weniger von der NVD ab.

Wie viele CVEs veröffentlicht werden

Das CVE-Programm veröffentlichte 2024 39.718 Einträge und 2025 47.801, und die Rate steigt weiter. Die Zahl für das laufende Jahr, nach Woche und nach CNA, steht unter CVE-Veröffentlichungstrends; was dieses Volumen für ein kleines Team bedeutet, beschreibt Automatisierung des Schwachstellenmanagements. Aktuelle Fälle mit eigener Seite finden Sie unter Schwachstellen.

CVEs und Ihre Software

Zu wissen, welche CVEs Sie betreffen, beginnt damit, zu wissen, welche Komponenten und Versionen jeder Build tatsächlich enthält: siehe Build-Time-SBOMs und Sind wir von einer CVE betroffen?. Die Behebung beschreibt CVE-Behebung, Schwachstellen ohne Fix Zero-Day-Schwachstelle und den übergreifenden Prozess Schwachstellenmanagement. Eine CVE beschreibt eine Schwachstelle, keinen Exploit: Viele CVEs werden nie ausgenutzt.

CRACI gleicht die in jedem Build aufgezeichneten Komponenten mit veröffentlichten Schwachstellen ab und bewertet sie neu, sobald neue CVEs erscheinen.