Trend di pubblicazione delle CVE

Nel 2025 sono stati pubblicati 47.802 record CVE, con un aumento del 20% rispetto all'anno precedente. Il 2026 ha già raggiunto 88.746 con diversi mesi ancora da trascorrere.

Il volume è cresciuto ogni anno dall'inizio del CVE Program, ma il ritmo di crescita è cambiato nettamente nel 2026. Usi il grafico qui sopra per vedere il trend per mese, trimestre o anno.

Su questa pagina. Il grafico e i dati qui sopra sono statistiche sulle CVE ricostruite ogni giorno dal repository cvelistV5 del CVE Program, la stessa fonte da cui pubblica il CVE Program.

Coprono il volume di pubblicazione per gravità CVSS, per organizzazione assegnante e per settimana, mese, trimestre o anno, oltre ai record critici più recenti. Per i dettagli di una singola vulnerabilità, segua qualsiasi identificatore fino a cve.org.

Stanno accadendo tre cose insieme, e i record pubblicati non permettono di separarle.

Più organizzazioni possono ora assegnare ID CVE, quindi vengono registrate vulnerabilità che in precedenza non lo erano mai state. La scoperta delle vulnerabilità automatizzata e assistita dall'IA ha aumentato quanto può trovare un singolo ricercatore. E il programma di arricchimento di CISA ha integrato i dettagli dei record più vecchi, cambiando a posteriori i dati storici.

L'aumento delle CVE non è quindi di per sé una prova che il software stia diventando meno sicuro.

Una CNA è un'organizzazione autorizzata ad assegnare ID CVE e a pubblicare record nel proprio ambito, di solito i propri prodotti. In questo dataset compaiono 497 CNA.

Vendor, progetti open source, piattaforme di bug bounty e CERT nazionali agiscono tutti come CNA. La più grande qui è mitre, con 39.586 record. Poiché una singola CNA che cambia il proprio processo può spostare sensibilmente i totali, il grafico permette di filtrare un'organizzazione alla volta.

CVSS assegna a una vulnerabilità un punteggio da 0.0 a 10.0 e la colloca in fasce: Bassa (0.1-3.9), Media (4.0-6.9), Alta (7.0-8.9) e Critica (9.0-10.0).

Il punteggio descrive caratteristiche tecniche intrinseche, come il modo in cui si raggiunge la vulnerabilità e che cosa compromette. Non misura quanto una determinata organizzazione sia a rischio.

Il 18.0% dei record pubblicati dal 2020 non ha alcun punteggio CVSS, né nei dati della CNA né nell'arricchimento di CISA.

Per la maggior parte della storia del CVE Program il punteggio non era obbligatorio. La copertura migliora bruscamente dal 2023 in poi e oggi è quasi universale, quindi il restringimento della fascia Sconosciuta nel grafico riflette un cambiamento nella prassi di segnalazione, non nelle vulnerabilità stesse. Qualsiasi analisi che ignori i record senza punteggio sottostimerà gli anni più vecchi.

Una vulnerabilità è un difetto nel software. Una CVE è un identificatore pubblico assegnato a una specifica istanza divulgata di tale difetto.

La maggior parte delle vulnerabilità non riceve mai una CVE: vengono trovate e corrette internamente, oppure non rientrano nell'ambito di alcuna CNA. Il numero di CVE misura quindi l'attività di divulgazione, non la quantità reale di difetti esistenti.

Ogni dato è ricavato dal repository ufficiale cvelistV5 del CVE Program, usando lo snapshot del 31 ott 2026 UTC.

I record sono conteggiati per data di pubblicazione anziché per anno nell'ID CVE, poiché circa un quinto dei record viene pubblicato in un anno diverso da quello indicato dal suo identificatore. I record respinti e ritirati sono esclusi.

Non di per sé. Una vulnerabilità Critica in un componente che Lei distribuisce ma non richiama mai può essere meno urgente di una Media sulla Sua API pubblica.

Una vera prioritizzazione deve sapere se il componente interessato è presente nel Suo software, se il codice vulnerabile è raggiungibile e se la vulnerabilità viene sfruttata. CVSS non risponde a nessuna di queste domande.

Il CRA impone ai fabbricanti di gestire le vulnerabilità per tutto il periodo di assistenza di un prodotto, di segnalare le vulnerabilità attivamente sfruttate all'ENISA entro 24 ore da quando ne vengono a conoscenza e di mantenere aggiornata la documentazione tecnica.

Questi obblighi crescono con il volume mostrato in questo grafico. Esaminare a mano decine di migliaia di nuovi record all'anno rispetto al proprio software non è realistico, ed è per questo che il CRA presuppone di fatto una SBOM e un processo di abbinamento automatizzato.

Le serve un inventario accurato di ciò che contiene il Suo software, poi un confronto continuo di quell'inventario con il feed delle CVE.

CRACI genera una SBOM dalla Sua build, la confronta con i nuovi record CVE man mano che vengono pubblicati e mostra solo gli advisory che raggiungono il codice che Lei distribuisce davvero, insieme alla documentazione che il CRA Le chiede di conservare.

Veda come funziona in pratica il tracciamento delle vulnerabilità.