CVE-julkaisujen trendit

Vuonna 2025 julkaistiin 47 801 CVE-tietuetta, 20 % enemmän kuin edellisenä vuonna. Vuonna 2026 määrä on jo 95 494, ja kuukausia on vielä jäljellä.

Määrä on kasvanut joka vuosi CVE-ohjelman alusta lähtien, mutta kasvuvauhti muuttui jyrkästi vuonna 2026. Yllä olevasta kaaviosta näet trendin kuukausittain, neljännesvuosittain tai vuosittain.

Tältä sivulta. Yllä oleva kaavio ja luvut ovat CVE-tilastoja, jotka rakennetaan päivittäin uudelleen CVE-ohjelman cvelistV5-repositoriosta, samasta lähteestä, josta CVE-ohjelma julkaisee.

Ne kattavat julkaisumäärät CVSS-vakavuuden ja myöntävän organisaation mukaan sekä viikoittain, kuukausittain, neljännesvuosittain tai vuosittain, ja lisäksi uusimmat kriittiset tietueet. Yksittäisen haavoittuvuuden tiedot löydät seuraamalla mitä tahansa tunnistetta cve.org-sivustolle.

Kolme asiaa tapahtuu samaan aikaan, eikä julkaistuista tietueista voi erottaa niitä toisistaan.

Yhä useampi organisaatio voi myöntää CVE-tunnisteita, joten haavoittuvuuksia, joita ei aiemmin rekisteröity lainkaan, kirjataan nyt. Automaattinen ja tekoälyavusteinen haavoittuvuuksien etsintä on kasvattanut sitä, kuinka paljon yksittäinen tutkija voi löytää. Lisäksi CISA:n täydennysohjelma on lisännyt tietoja vanhoihin tietueisiin, mikä muuttaa historiallisia lukuja jälkikäteen.

Kasvavat CVE-määrät eivät siksi sellaisenaan todista, että ohjelmistot olisivat muuttumassa turvattomammiksi. Sen sijaan ne muuttavat sitä, kuinka paljon työtä manuaalinen prosessi vaatii: katso mitä automatisoida, kun CVE-määrät kasvavat.

CNA on organisaatio, jolla on valtuudet myöntää CVE-tunnisteita ja julkaista tietueita omalla vastuualueellaan, yleensä omista tuotteistaan. Tässä aineistossa esiintyy 505 CNA:ta.

CNA:na toimii ohjelmistotoimittajia, avoimen lähdekoodin projekteja, bug bounty -alustoja ja kansallisia CERT-yksiköitä. Suurin niistä on mitre, jolla on 39 628 tietuetta. Koska yhden CNA:n prosessimuutos voi siirtää kokonaismääriä huomattavasti, kaaviossa voit suodattaa yhden organisaation kerrallaan.

CVSS pisteyttää haavoittuvuuden asteikolla 0,0–10,0 ja jakaa sen luokkiin: Matala (0,1–3,9), Keskitaso (4,0–6,9), Korkea (7,0–8,9) ja Kriittinen (9,0–10,0).

Pisteet kuvaavat haavoittuvuuden luontaisia teknisiä ominaisuuksia, kuten sitä, miten haavoittuvuuteen päästään käsiksi ja mitä se vaarantaa. Ne eivät mittaa, kuinka suuressa vaarassa jokin tietty organisaatio on.

17.4% vuodesta 2020 lähtien julkaistuista tietueista on ilman CVSS-pisteitä sekä CNA:n omissa tiedoissa että CISA:n täydennyksessä.

Pisteytystä ei vaadittu suurimman osan CVE-ohjelman historiasta. Kattavuus paranee jyrkästi vuodesta 2023 alkaen ja on nyt lähes kattava, joten kaavion kaventuva Tuntematon-kaista kertoo raportointikäytäntöjen muutoksesta, ei muutoksesta itse haavoittuvuuksissa. Analyysi, joka jättää pisteyttämättömät tietueet huomiotta, aliarvioi aiempia vuosia.

Haavoittuvuus on ohjelmiston vika. CVE on julkinen tunniste, joka myönnetään tietylle julkistetulle haavoittuvuudelle.

Useimmat haavoittuvuudet eivät koskaan saa CVE-tunnistetta: ne löydetään ja korjataan sisäisesti, tai ne jäävät kaikkien CNA:iden vastuualueiden ulkopuolelle. CVE-määrät mittaavat siksi julkistamisaktiivisuutta, eivät olemassa olevien vikojen todellista määrää.

Jokainen luku rakennetaan CVE-ohjelman virallisesta cvelistV5-repositoriosta käyttäen tilannekuvaa, joka otettiin 12.11.2026 UTC.

Tietueet lasketaan julkaisupäivän mukaan eikä CVE-tunnisteessa olevan vuoden mukaan, koska noin viidesosa tietueista julkaistaan eri vuonna kuin tunnisteen vuosi. Hylätyt ja peruutetut tietueet jätetään pois.

Ei yksinään. Kriittinen haavoittuvuus komponentissa, jonka toimitat mutta jota et koskaan kutsu, voi olla vähemmän kiireellinen kuin Keskitaso-haavoittuvuus julkisessa API:ssasi.

Todellinen priorisointi edellyttää tietoa siitä, onko haavoittuva komponentti ohjelmistossasi, onko haavoittuva koodi saavutettavissa ja hyödynnetäänkö haavoittuvuutta. CVSS ei vastaa mihinkään näistä.

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat käsittelevät haavoittuvuuksia koko tuotteen tukiajan, ilmoittavat aktiivisesti hyödynnetyistä haavoittuvuuksista ENISAlle 24 tunnin kuluessa siitä, kun ne saavat niistä tiedon, ja pitävät teknisen dokumentaation ajan tasalla.

Nämä velvoitteet kasvavat tämän kaavion määrien mukana. Kymmenien tuhansien uusien tietueiden vertaaminen omaan ohjelmistoosi vuosittain ei ole realistista käsin, minkä vuoksi CRA käytännössä olettaa SBOM:n ja automaattisen vertailuprosessin.

Tarvitset tarkan inventaarion siitä, mitä ohjelmistosi sisältää, ja sen jatkuvan vertailun CVE-syötteeseen.

CRACI generoi SBOM:n buildistasi, vertaa sitä uusiin CVE-tietueisiin niiden julkaisun myötä ja näyttää vain ne tietoturvatiedotteet, jotka ulottuvat koodiin, jota todella toimitat, sekä dokumentaation, jota CRA edellyttää sinun säilyttävän.

Katso, miten haavoittuvuuksien seuranta toimii käytännössä, mitä sen ympärillä kannattaa automatisoida ja miten karsia kohinaa jäljelle jäävästä.