CVE

CVE on lyhenne sanoista Common Vulnerabilities and Exposures. CVE on yksilöllinen tunniste, kuten CVE-2024-3094, joka annetaan yhdelle julkisesti ilmoitetulle tietoturvahaavoittuvuudelle, ja sen mukana on lyhyt tietue, joka kuvaa haavoittuvuuden. CVE-ohjelma myöntää tunnisteet satojen CVE Numbering Authority -organisaatioiden kautta. CVE kertoo, mistä haavoittuvuudesta on kyse; se ei kerro, kuinka vakava haavoittuvuus on tai miten se korjataan.

Miltä CVE-tunniste näyttää

CVE-tunnisteen muoto on CVE-YYYY-NNNN: etuliite, vuosi ja vähintään nelinumeroinen järjestysnumero. CVE-2021-44228 on Log4Shell Apache Log4j:ssä; CVE-2024-3094 on xz-pakkauskirjaston takaovi.

Vuosi on se vuosi, jolloin tunniste varattiin tai haavoittuvuus julkistettiin, ei välttämättä se vuosi, jolloin se löydettiin tai korjattiin. Joulukuussa varattu ja helmikuussa julkaistu tunniste säilyttää aiemman vuoden, minkä vuoksi ”2025”-CVE voi ilmestyä vuonna 2026.

Kuka myöntää CVE-tunnisteet

CVE-ohjelma perustettiin vuonna 1999. Sitä sponsoroi Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA), sitä operoi MITRE sihteeristönä, ja sitä hallinnoi CVE Board.

Tunnisteita myöntävät CVE Numbering Authorityt (CNA:t): ohjelmistotoimittajat, avoimen lähdekoodin projektit, CERT-yksiköt, bug bounty -alustat ja tutkimusyritykset, kukin sovitulla vastuualueella, tyypillisesti omien tuotteidensa osalta. Microsoft myöntää tunnisteet Microsoftin tuotteille, Linux-ytimen projekti ytimelle ja GitHub projekteille, jotka raportoivat GitHubin kautta. CVE-kumppanilistalla on yli 500 organisaatiota. Rootit ja Top-Level Rootit (MITRE ja CISA) rekrytoivat ja valvovat CNA:ita, ja CNA of Last Resort ottaa vastaan ilmoitukset, joita mikään muu CNA ei kata. Authorized Data Publisherit (ADP:t) lisäävät tietoja muiden julkaisemiin tietueisiin; CISA:n ADP lisää esimerkiksi SSVC-päätöspisteitä ja KEV-tilan.

Jos tarvitset tunnisteen oman tuotteesi haavoittuvuudelle, katso CVE-tunnisteet ja CNA:t.

CVE-tietueen elinkaari

1. Haavoittuvuus löydetään ja ilmoitetaan toimittajalle tai CNA:lle.
2. CNA varaa tunnisteen, usein jo silloin, kun haavoittuvuus on vielä embargon alainen eikä korjausta ole.
3. CNA julkaisee tietueen: kuvauksen, kohteena olevat tuotteet ja versiot sekä viitteet. Se voi lisätä CVSS-pisteet ja CWE:n.
4. Muut rikastavat sitä: ADP:t lisäävät tietueeseen tietoja, ja jatkotietokannat, kuten NVD, EUVD ja Linux-jakelut, lisäävät omat pisteensä, tuotenimensä ja korjaustilansa.
5. Tietuetta voidaan myöhemmin päivittää, tai se voidaan hylätä, jos se osoittautuu kaksoiskappaleeksi tai ei olekaan haavoittuvuus.

Tietueet käyttävät CVE JSON 5 -formaattia ja julkaistaan cvelistV5-repositoriossa, joka on CVE-julkaisutrendiemme taustalla oleva data.

CVE vs. CVSS vs. CWE vs. NVD vs. EUVD

Termi	Mikä se on	Ylläpitäjä	Esimerkki	Vastaa kysymykseen
CVE	Tunniste ja tietue yhdelle haavoittuvuudelle	CVE-ohjelma	CVE-2024-3094	Mikä haavoittuvuus?
CVSS	Vakavuuspisteet 0–10, vektori	FIRST	10.0 Critical	Kuinka paha yleisesti?
CWE	Heikkouksien tyyppien luettelo	MITRE	CWE-79 (XSS)	Millainen virhe?
NVD	CVE-tietueita rikastava tietokanta	NIST	CVSS, CWE, CPE	Mitkä tuotteet, kuinka vakava?
EUVD	Eurooppalainen haavoittuvuustietokanta	ENISA	EUVD-2025-4893	EU:n näkymä samaan asiaan
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Mitkä pakettiversiot?
OSV	Tietoturvatiedotteiden avoin formaatti ja tietokanta	OpenSSF, Google	Kokoaa GHSA:n ja muut	Mitkä pakettiversiot?

• CVSS (FIRST, versio 4.0 marraskuusta 2023) mittaa vakavuutta, ei riskiä. Yhdellä CVE:llä voi olla useita pisteitä: yksi CNA:lta, yksi NVD:ltä, yksi jakelulta.
• CWE (cwe.mitre.org) luokittelee haavoittuvuuden taustalla olevan virheen, kuten cross-site scriptingin tai rajojen ulkopuolelle kirjoittamisen. Monella CVE:llä on sama CWE.
• NVD ei ole CVE-lista. NIST:n National Vulnerability Database ottaa julkaistut CVE-tietueet ja lisää niihin analyysia, mukaan lukien CPE-nimet, joilla skannerit tunnistavat tuotteet. CVE on olemassa heti, kun sen CNA julkaisee sen, riippumatta siitä, onko NVD rikastanut sitä.
• EUVD on ENISAn tietokanta, joka on ollut toiminnassa 13.5.2025 alkaen (ENISA). Se antaa jokaiselle merkinnälle EUVD-tunnisteen ja listaa CVE- ja GHSA-tunnisteet aliaksina. ENISA on ollut myös CNA tammikuusta 2024. CRA:n nojalla keskitetyn raportointialustan kautta ilmoitetut korjatut haavoittuvuudet voidaan myöhemmin julkistaa EUVD:ssä.
• GHSA ja OSV on järjestetty ekosysteemin ja paketin eikä tuotteen mukaan, joten ne vastaavat suoraan komponentin package URL -tunnistetta.

CVE:n päälle tulee vielä kaksi signaalia: hyödynnetäänkö sitä (CISA KEV) ja kuinka todennäköistä hyödyntäminen on (EPSS). Miten tiimit yhdistävät ne, kerrotaan sivulla haavoittuvuuksien priorisointi.

Miksi sama CVE näkyy skannauksessa monta kertaa

Skanneri raportoi löydöksiä, ei CVE:itä. Yhdestä CVE:stä tulee monta löydöstä, kun useampi komponentti sisältää saman kirjaston, kun useampi tuote tai kuva toimittaa sen tai kun kaksi työkalua raportoi sen eri tunnisteilla. Raportin ”400 CVE:tä” on usein paljon pienempi määrä erillisiä haavoittuvuuksia; katso miten vähentää haavoittuvuuskohinaa.

2025 ja 2026: rahoituspelko ja NVD:n muutokset

• Huhtikuu 2025. MITRE kertoi CVE Boardille, että sen ohjelman operointisopimus päättyisi 16. huhtikuuta. CISA jatkoi sitä yön aikana 11 kuukaudella (The Record) ja sanoi kyseessä olleen sopimushallinnon eikä rahoituksen ongelma. CVE Boardin jäsenet ilmoittivat perustavansa CVE Foundationin, voittoa tavoittelemattoman järjestön, jonka on tarkoitus antaa ohjelmalle riippumaton hallinto. CVE-tietueita on sen jälkeen julkaistu keskeytyksettä marraskuuhun 2026 asti.
• Toukokuu 2025. ENISA käynnisti EUVD:n, jota pidettiin laajasti keinona vähentää Euroopan riippuvuutta yhdestä yhdysvaltalaisesta ohjelmasta.
• NVD. Huhtikuussa 2025 NIST merkitsi ennen vuotta 2018 julkaistut, yhä rikastamista odottaneet CVE:t lykätyiksi. 15.4.2026 alkaen se rikastaa vain prioriteettikriteerit täyttävät CVE:t, CISA KEV -merkinnät ensin, ja merkitsee loput tunnisteella "Lowest Priority - not scheduled for immediate enrichment" (NIST). Työkalut, jotka tunnistavat haavoittuvuudet pelkästään NVD:n CPE-datan perusteella, näkevät nyt enemmän aukkoja; pakettiin perustuva tunnistus (OSV, GHSA, package URL -tunnisteet) on vähemmän riippuvainen NVD:stä.

Kuinka monta CVE:tä julkaistaan

CVE-ohjelma julkaisi 39 718 tietuetta vuonna 2024 ja 47 801 vuonna 2025, ja tahti kiihtyy edelleen. Kuluvan vuoden määrä viikoittain ja CNA:ittain löytyy sivulta CVE-julkaisutrendit; mitä tämä määrä tarkoittaa pienelle tiimille, kerrotaan sivulla haavoittuvuuksien hallinnan automatisointi. Tuoreet tapaukset omine sivuineen löytyvät osiosta haavoittuvuudet.

CVE:t ja ohjelmistosi

Sen tietäminen, mitkä CVE:t koskevat sinua, alkaa siitä, että tiedät, mitkä komponentit ja versiot kukin buildi todella sisältää: katso buildin aikana tallennetut SBOM:t ja koskeeko CVE meitä?. Yksittäisen CVE:n korjaamista käsitellään sivulla CVE:iden korjaus, haavoittuvuuksia, joille ei vielä ole korjausta, sivulla nollapäivähaavoittuvuus, ja laajempaa prosessia sivulla haavoittuvuuksien hallinta. CVE kuvaa haavoittuvuuden, ei hyödyntämistä (exploit): monia CVE:itä ei koskaan hyödynnetä.

CRACI vertaa kussakin buildissa tallennettuja komponentteja julkaistuihin haavoittuvuuksiin ja arvioi ne uudelleen, kun uusia CVE:itä ilmestyy.