CVE

Una CVE è un ID univoco, come CVE-2024-3094, con una breve scheda pubblica relativa a una vulnerabilità divulgata. CVE sta per Common Vulnerabilities and Exposures.

Ultimo aggiornamento: 11 novembre 2026

CVE sta per Common Vulnerabilities and Exposures. Una CVE è un identificatore univoco, come CVE-2024-3094, assegnato a una singola vulnerabilità di sicurezza divulgata pubblicamente, insieme a una breve scheda che la descrive. Il programma CVE rilascia gli identificatori tramite centinaia di CVE Numbering Authorities. Una CVE dice di quale vulnerabilità si tratta; non dice quanto è grave né come correggerla.

Com'è fatto un ID CVE

Un ID CVE ha la forma CVE-YYYY-NNNN: il prefisso, un anno e un numero progressivo di quattro o più cifre. CVE-2021-44228 è Log4Shell in Apache Log4j; CVE-2024-3094 è la backdoor nella libreria di compressione xz.

L'anno è quello in cui l'ID è stato riservato o la vulnerabilità è stata resa pubblica, non necessariamente quello in cui è stata scoperta o corretta. Un ID riservato a dicembre e pubblicato a febbraio mantiene l'anno precedente, ed è per questo che una CVE «del 2025» può comparire nel 2026.

Chi assegna gli ID CVE

Il programma CVE è stato fondato nel 1999. È sponsorizzato dall'agenzia statunitense Cybersecurity and Infrastructure Security Agency (CISA), gestito da MITRE come segretariato e governato da un CVE Board.

Gli ID vengono assegnati dalle CVE Numbering Authorities (CNA): produttori di software, progetti open source, CERT, piattaforme di bug bounty e società di ricerca, ciascuna per un ambito concordato, di solito i propri prodotti. Microsoft assegna gli ID per i prodotti Microsoft, il progetto del kernel Linux per il kernel, GitHub per i progetti che segnalano tramite GitHub. L'elenco dei partner CVE comprende più di 500 organizzazioni. I Roots e i Top-Level Roots (MITRE e CISA) reclutano e supervisionano le CNA, e una CNA of Last Resort prende in carico le segnalazioni che nessun'altra CNA copre. Gli Authorized Data Publishers (ADP) aggiungono informazioni alle schede pubblicate da altri; l'ADP della CISA aggiunge ad esempio i punti decisionali SSVC e lo stato KEV.

Se Le serve un ID per una vulnerabilità del Suo prodotto, veda ID CVE e CNA.

Il ciclo di vita di una scheda CVE

Una vulnerabilità viene scoperta e segnalata al produttore o a una CNA.
La CNA riserva un ID, spesso mentre la vulnerabilità è ancora sotto embargo e prima che esista una correzione.
La CNA pubblica la scheda: una descrizione, i prodotti e le versioni interessati e i riferimenti. Può aggiungere un punteggio CVSS e una CWE.
Altri la arricchiscono: gli ADP aggiungono dati alla scheda, e database a valle come la NVD, l'EUVD e le distribuzioni Linux aggiungono i propri punteggi, nomi di prodotto e stato delle correzioni.
La scheda può essere aggiornata in seguito, oppure respinta se si rivela un duplicato o non una vulnerabilità.

Le schede usano il formato CVE JSON 5 e sono pubblicate nel repository cvelistV5, che alimenta le nostre tendenze di pubblicazione delle CVE.

CVE, CVSS, CWE, NVD ed EUVD a confronto

Termine	Che cos'è	Gestito da	Esempio	Risponde a
CVE	ID e scheda di una vulnerabilità	Programma CVE	CVE-2024-3094	Quale vulnerabilità?
CVSS	Punteggio di gravità da 0 a 10, con vettore	FIRST	10.0 Critical	Quanto è grave, in generale?
CWE	Catalogo di tipi di debolezze	MITRE	CWE-79 (XSS)	Che tipo di errore?
NVD	Database che arricchisce le schede CVE	NIST	CVSS, CWE, CPE	Quali prodotti, quanto è grave?
EUVD	Database europeo delle vulnerabilità	ENISA	EUVD-2025-4893	La visione UE dello stesso problema
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Quali versioni del pacchetto?
OSV	Formato e database aperti di advisory	OpenSSF, Google	Raccoglie GHSA e altri	Quali versioni del pacchetto?

CVSS (FIRST, versione 4.0 da novembre 2023) misura la gravità, non il rischio. Una CVE può avere più punteggi: quello della CNA, quello della NVD, quello di una distribuzione.
CWE (cwe.mitre.org) classifica l'errore alla base di una vulnerabilità, come il cross-site scripting o una scrittura fuori dai limiti. Molte CVE condividono una CWE.
La NVD non è l'elenco CVE. La National Vulnerability Database del NIST prende le schede CVE pubblicate e aggiunge analisi, compresi i nomi CPE che gli scanner usano per associare i prodotti. Una CVE esiste non appena la sua CNA la pubblica, che la NVD l'abbia arricchita o meno.
L'EUVD è il database dell'ENISA, operativo dal 13 maggio 2025 (ENISA). Assegna a ogni voce un ID EUVD ed elenca gli ID CVE e GHSA come alias. L'ENISA è inoltre una CNA da gennaio 2024. Con il CRA, le vulnerabilità corrette notificate tramite la piattaforma unica di segnalazione possono poi essere divulgate nell'EUVD.
GHSA e OSV sono organizzati per ecosistema e pacchetto anziché per prodotto, e quindi corrispondono direttamente al package URL di un componente.

Altri due segnali si basano su una CVE: se viene sfruttata (KEV della CISA) e quanto è probabile che lo sia (EPSS). Come i team li combinano è spiegato in prioritizzazione delle vulnerabilità.

Perché la stessa CVE compare molte volte in una scansione

Uno scanner segnala risultati, non CVE. Una CVE diventa molti risultati quando più componenti includono la stessa libreria, quando più prodotti o immagini la distribuiscono, o quando due strumenti la segnalano con ID diversi. «400 CVE» in un report sono spesso molte meno vulnerabilità distinte; veda ridurre il rumore delle vulnerabilità.

2025 e 2026: l'allarme sui finanziamenti e le modifiche alla NVD

Aprile 2025. MITRE ha comunicato al CVE Board che il suo contratto di gestione del programma sarebbe scaduto il 16 aprile. La CISA lo ha prorogato in una notte, di 11 mesi (The Record), e ha dichiarato che si trattava di una questione di amministrazione del contratto, non di finanziamento. Alcuni membri del CVE Board hanno annunciato la CVE Foundation, un'organizzazione senza scopo di lucro pensata per dare al programma una governance indipendente. Da allora le schede CVE sono pubblicate senza interruzioni, fino a novembre 2026.
Maggio 2025. L'ENISA ha lanciato l'EUVD, descritta da molti come un modo per l'Europa di dipendere meno da un unico programma gestito dagli Stati Uniti.
NVD. Nell'aprile 2025 il NIST ha contrassegnato come differite le CVE pubblicate prima del 2018 ancora in attesa di arricchimento. Dal 15 aprile 2026 arricchisce solo le CVE che soddisfano criteri di priorità, a partire dalle voci del KEV della CISA, e contrassegna le altre come «Lowest Priority - not scheduled for immediate enrichment» (NIST). Gli strumenti che associano solo sui dati CPE della NVD vedono ora più lacune; il matching per pacchetto (OSV, GHSA, package URL) dipende meno dalla NVD.

Quante CVE vengono pubblicate

Il programma CVE ha pubblicato 39.718 schede nel 2024 e 47.801 nel 2025, e il ritmo continua a crescere. Il conteggio dell'anno in corso, per settimana e per CNA, è nelle tendenze di pubblicazione delle CVE; che cosa significhi questo volume per un piccolo team è spiegato in automazione della gestione delle vulnerabilità. I casi recenti con una pagina dedicata si trovano in vulnerabilità.

Le CVE e il Suo software

Sapere quali CVE La riguardano inizia dal sapere quali componenti e versioni contiene davvero ogni build: veda SBOM in fase di build e siamo colpiti da una CVE?. La correzione è trattata in remediation delle CVE, le vulnerabilità senza correzione in vulnerabilità zero-day e il processo complessivo in gestione delle vulnerabilità. Una CVE descrive una vulnerabilità, non un exploit: molte CVE non vengono mai sfruttate.

CRACI associa i componenti registrati in ogni build alle vulnerabilità pubblicate e li rivaluta man mano che compaiono nuove CVE.