CVE
CVE는 CVE-2024-3094처럼 공개된 취약점 하나에 붙는 고유 ID와 짧은 공개 레코드입니다. CVE는 Common Vulnerabilities and Exposures의 약자입니다.
최종 업데이트: 2026년 11월 11일
CVE는 Common Vulnerabilities and Exposures(공통 취약점 및 노출)의 약자입니다. CVE는 공개된 보안 취약점 하나에 부여되는 CVE-2024-3094 같은 고유 식별자와, 그 취약점을 설명하는 짧은 레코드입니다. CVE 프로그램은 수백 개의 CVE Numbering Authorities를 통해 ID를 발급합니다. CVE는 어떤 취약점인지를 알려 줄 뿐, 얼마나 심각한지나 어떻게 고치는지는 알려 주지 않습니다.
CVE ID의 형식
CVE ID는 CVE-YYYY-NNNN 형식입니다. 접두사, 연도, 네 자리 이상의 일련번호로 구성됩니다. CVE-2021-44228은 Apache Log4j의 Log4Shell이고, CVE-2024-3094는 압축 라이브러리 xz의 백도어입니다.
연도는 ID가 예약된 해나 취약점이 공개된 해이며, 발견하거나 수정한 해와 반드시 같지는 않습니다. 12월에 예약되고 2월에 공개된 ID는 앞선 연도를 그대로 쓰므로, "2025년" CVE가 2026년에 나타날 수 있습니다.
CVE ID는 누가 부여하는가
CVE 프로그램은 1999년에 시작되었습니다. 미국 Cybersecurity and Infrastructure Security Agency(CISA)가 후원하고, MITRE가 사무국으로서 운영하며, CVE Board가 거버넌스를 맡습니다.
ID는 **CVE Numbering Authorities(CNA)**가 부여합니다. 소프트웨어 공급업체, 오픈 소스 프로젝트, CERT, 버그 바운티 플랫폼, 연구 기업이 각자 합의된 범위(보통 자사 제품)에 대해 ID를 부여합니다. Microsoft는 Microsoft 제품, 리눅스 커널 프로젝트는 커널, GitHub는 GitHub를 통해 보고하는 프로젝트의 ID를 부여합니다. CVE 파트너 목록에는 500곳이 넘는 조직이 있습니다. Roots와 Top-Level Roots(MITRE와 CISA)는 CNA를 모집하고 감독하며, 다른 어떤 CNA도 다루지 않는 보고는 CNA of Last Resort가 맡습니다. **Authorized Data Publishers(ADP)**는 다른 조직이 공개한 레코드에 정보를 추가합니다. 예를 들어 CISA의 ADP는 SSVC 의사결정 포인트와 KEV 상태를 추가합니다.
자사 제품의 취약점에 ID가 필요하다면 CVE ID와 CNA를 참고하세요.
CVE 레코드의 수명 주기
- 취약점이 발견되어 공급업체나 CNA에 보고됩니다.
- CNA가 ID를 예약합니다. 대개 취약점이 아직 엠바고 상태이고 수정이 나오기 전입니다.
- CNA가 레코드를 공개합니다. 설명, 영향을 받는 제품과 버전, 참고 자료가 들어가며, CVSS 점수와 CWE를 추가할 수도 있습니다.
- 다른 주체들이 레코드를 보강합니다. ADP가 레코드에 데이터를 추가하고, NVD, EUVD, 리눅스 배포판 같은 다운스트림 데이터베이스가 자체 점수, 제품 이름, 수정 상태를 더합니다.
- 레코드는 나중에 업데이트되거나, 중복이거나 취약점이 아닌 것으로 밝혀지면 거부될 수 있습니다.
레코드는 CVE JSON 5 형식을 사용하며 cvelistV5 저장소에 공개됩니다. 우리의 CVE 공개 동향도 이 데이터를 사용합니다.
CVE, CVSS, CWE, NVD, EUVD의 차이
| 용어 | 정의 | 운영 주체 | 예시 | 답하는 질문 |
|---|---|---|---|---|
| CVE | 취약점 하나의 ID와 레코드 | CVE 프로그램 | CVE-2024-3094 | 어떤 취약점인가? |
| CVSS | 0~10의 심각도 점수와 벡터 | FIRST | 10.0 Critical | 일반적으로 얼마나 심각한가? |
| CWE | 약점 유형 카탈로그 | MITRE | CWE-79(XSS) | 어떤 종류의 실수인가? |
| NVD | CVE 레코드를 보강하는 데이터베이스 | NIST | CVSS, CWE, CPE | 어떤 제품, 얼마나 심각한가? |
| EUVD | 유럽 취약점 데이터베이스 | ENISA | EUVD-2025-4893 | 같은 문제에 대한 EU의 시각 |
| GHSA | GitHub Security Advisories | GitHub | GHSA-hgfh-7qxq-x5c9 | 어떤 패키지 버전인가? |
| OSV | 개방형 형식과 권고 데이터베이스 | OpenSSF, Google | GHSA 등을 수집 | 어떤 패키지 버전인가? |
- CVSS(FIRST, 2023년 11월부터 버전 4.0)는 위험이 아니라 심각도를 측정합니다. CVE 하나에 CNA, NVD, 배포판 등 여러 점수가 붙을 수 있습니다.
- CWE(cwe.mitre.org)는 크로스 사이트 스크립팅이나 경계 밖 쓰기처럼 취약점의 원인이 된 실수를 분류합니다. 많은 CVE가 같은 CWE를 공유합니다.
- NVD는 CVE 목록이 아닙니다. NIST의 National Vulnerability Database는 공개된 CVE 레코드를 가져와, 스캐너가 제품 매칭에 쓰는 CPE 이름 등 분석을 덧붙입니다. CVE는 CNA가 공개하는 순간 존재하며, NVD가 보강했는지와는 무관합니다.
- EUVD는 ENISA의 데이터베이스로, 2025년 5월 13일부터 운영되고 있습니다(ENISA). 각 항목에 EUVD ID를 부여하고 CVE ID와 GHSA ID를 별칭으로 기재합니다. ENISA는 2024년 1월부터 CNA이기도 합니다. CRA에 따라 Single Reporting Platform을 통해 통지되어 수정된 취약점은 이후 EUVD에 공개될 수 있습니다.
- GHSA와 OSV는 제품이 아니라 생태계와 패키지 단위로 정리되어 있어, 구성 요소의 Package URL과 바로 대응됩니다.
CVE 위에는 두 가지 신호가 더 있습니다. 실제로 악용되고 있는지(CISA KEV)와 악용될 가능성이 얼마나 되는지(EPSS)입니다. 팀이 이를 어떻게 조합하는지는 취약점 우선순위 지정에서 다룹니다.
같은 CVE가 스캔에서 여러 번 나타나는 이유
스캐너가 보고하는 것은 탐지 결과이지 CVE가 아닙니다. 여러 구성 요소가 같은 라이브러리를 포함하거나, 여러 제품이나 이미지가 그 라이브러리를 출시하거나, 두 도구가 서로 다른 ID로 보고하면 CVE 하나가 여러 탐지 결과가 됩니다. 보고서의 "CVE 400건"은 실제로는 훨씬 적은 수의 서로 다른 취약점인 경우가 많습니다. 취약점 노이즈 줄이기를 참고하세요.
2025년과 2026년: 예산 위기와 NVD의 변화
- 2025년 4월. MITRE는 CVE Board에 프로그램 운영 계약이 4월 16일에 만료된다고 알렸습니다. CISA는 하룻밤 사이에 계약을 11개월 연장했고(The Record), 예산이 아니라 계약 관리의 문제였다고 밝혔습니다. CVE Board 구성원들은 프로그램에 독립적인 거버넌스를 부여하려는 비영리 단체 CVE Foundation을 발표했습니다. CVE 레코드는 그 뒤로 2026년 11월까지 중단 없이 공개되고 있습니다.
- 2025년 5월. ENISA가 EUVD를 출범했습니다. 유럽이 미국이 운영하는 단일 프로그램에 덜 의존하려는 방안으로 널리 보도되었습니다.
- NVD. 2025년 4월, NIST는 2018년 이전에 공개되어 아직 보강을 기다리던 CVE를 보류로 표시했습니다. 2026년 4월 15일부터는 CISA KEV 항목을 우선으로 우선순위 기준을 충족하는 CVE만 보강하고, 나머지는 "Lowest Priority - not scheduled for immediate enrichment"로 표시합니다(NIST). NVD의 CPE 데이터로만 매칭하는 도구는 이제 공백이 더 많아졌고, 패키지 단위 매칭(OSV, GHSA, Package URL)은 NVD에 덜 의존합니다.
CVE는 얼마나 공개되는가
CVE 프로그램은 2024년에 39,718건, 2025년에 47,801건의 레코드를 공개했으며, 그 속도는 계속 빨라지고 있습니다. 올해의 건수를 주별, CNA별로 보려면 CVE 공개 동향을, 이 규모가 작은 팀에 어떤 의미인지는 취약점 관리 자동화를 보세요. 별도 페이지가 있는 최근 사례는 취약점에 있습니다.
CVE와 자사 소프트웨어
어떤 CVE가 자사에 영향을 미치는지 알려면, 먼저 각 빌드에 실제로 어떤 구성 요소와 버전이 들어 있는지 알아야 합니다. 빌드 시점 SBOM과 이 CVE의 영향을 받는가?를 참고하세요. 수정은 CVE 조치에서, 아직 수정이 없는 취약점은 제로데이 취약점에서, 전체 프로세스는 취약점 관리에서 다룹니다. CVE는 취약점을 설명할 뿐 익스플로잇이 아닙니다. 많은 CVE는 한 번도 악용되지 않습니다.
CRACI는 각 빌드에서 기록한 구성 요소를 공개된 취약점과 매칭하고, 새로운 CVE가 나올 때마다 다시 평가합니다.