CVE 공개 동향

2025년에는 47,801건의 CVE 레코드가 공개되어 전년 대비 20% 증가했습니다. 2026년은 아직 몇 달이 남은 시점에 이미 95,494건에 도달했습니다.

CVE 프로그램이 시작된 이후 건수는 매년 늘었지만, 증가 속도는 2026년에 크게 달라졌습니다. 위 차트에서 월, 분기, 연도별 추세를 확인하세요.

바로 이 페이지입니다. 위의 차트와 수치는 CVE 프로그램이 공개에 사용하는 것과 같은 출처인 CVE 프로그램의 cvelistV5 리포지토리로부터 매일 다시 만드는 CVE 통계입니다.

CVSS 심각도별, 할당 기관별, 그리고 주, 월, 분기, 연도별 공개 건수와 가장 최근의 Critical 레코드를 다룹니다. 개별 취약점의 상세 정보는 식별자를 따라 cve.org에서 확인하세요.

세 가지 일이 동시에 일어나고 있으며, 공개된 레코드만으로는 이들을 구분할 수 없습니다.

더 많은 기관이 CVE ID를 할당할 수 있게 되어, 예전에는 등록되지 않던 취약점이 기록되고 있습니다. 자동화 및 AI 지원 취약점 발견으로 연구자 한 명이 찾을 수 있는 양이 늘었습니다. 그리고 CISA의 보강 프로그램이 오래된 레코드의 세부 정보를 소급해 채우면서 과거 수치가 사후에 바뀝니다.

따라서 CVE 건수의 증가 그 자체가 소프트웨어의 보안이 나빠지고 있다는 증거는 아닙니다. 다만 수작업 프로세스에 드는 작업량은 확실히 늘어납니다. CVE 건수가 계속 늘어날 때 자동화할 것을 참조하세요.

CNA는 자체 범위, 대개는 자사 제품 안에서 CVE ID를 할당하고 레코드를 공개할 권한을 가진 기관입니다. 이 데이터 세트에는 505개 CNA가 등장합니다.

공급업체, 오픈 소스 프로젝트, 버그 바운티 플랫폼, 국가 CERT가 모두 CNA로 활동합니다. 여기서 가장 큰 곳은 39,628건의 레코드를 가진 mitre입니다. CNA 하나가 프로세스를 바꾸는 것만으로도 합계가 눈에 띄게 달라질 수 있으므로, 차트에서는 한 번에 한 기관으로 필터링할 수 있습니다.

CVSS는 취약점을 0.0에서 10.0까지 점수화하고 등급으로 묶습니다. Low(0.1-3.9), Medium(4.0-6.9), High(7.0-8.9), Critical(9.0-10.0)입니다.

점수는 취약점에 어떻게 도달하는지, 무엇이 손상되는지 같은 본질적인 기술적 특성을 설명합니다. 특정 조직이 얼마나 위험에 처해 있는지를 측정하는 지표가 아닙니다.

2020년 이후 공개된 레코드의 17.4%는 CNA 자체 데이터와 CISA 보강 데이터 어디에도 CVSS 점수가 없습니다.

CVE 프로그램 역사의 대부분 기간 동안 점수 부여는 필수가 아니었습니다. 2023년 이후 점수 부여율이 가파르게 높아져 지금은 거의 모든 레코드에 점수가 있으므로, 차트에서 Unknown 영역이 줄어드는 것은 취약점 자체의 변화가 아니라 보고 관행의 변화를 반영합니다. 점수 없는 레코드를 무시하는 분석은 과거 연도를 과소평가하게 됩니다.

취약점은 소프트웨어의 결함입니다. CVE는 공개된 특정 취약점 사례에 부여되는 공개 식별자입니다.

대부분의 취약점은 CVE를 받지 않습니다. 내부에서 발견되어 수정되거나, 어느 CNA의 범위에도 속하지 않기 때문입니다. 따라서 CVE 건수는 실제로 존재하는 결함의 양이 아니라 공개 활동을 측정합니다.

모든 수치는 CVE 프로그램의 공식 cvelistV5 리포지토리에서 2026. 11. 12. UTC에 생성한 스냅샷으로 만듭니다.

레코드의 약 5분의 1은 식별자에 적힌 연도와 다른 해에 공개되므로, CVE ID의 연도가 아니라 공개일 기준으로 집계합니다. 거부되거나 철회된 레코드는 제외합니다.

점수만으로는 그렇지 않습니다. 출시하지만 호출하지 않는 구성 요소의 Critical 취약점은 공개 API의 Medium 취약점보다 덜 시급할 수 있습니다.

실제 우선순위를 정하려면 영향받는 구성 요소가 소프트웨어에 있는지, 취약한 코드에 도달할 수 있는지, 취약점이 악용되고 있는지를 알아야 합니다. CVSS는 이 중 어느 것에도 답하지 않습니다.

CRA는 제조업체가 제품의 지원 기간 내내 취약점을 처리하고, 실제로 악용되는 취약점을 인지한 후 24시간 이내에 ENISA에 보고하며, 기술 문서를 최신 상태로 유지하도록 요구합니다.

이러한 의무는 이 차트의 건수에 비례해 커집니다. 매년 수만 건의 새 레코드를 자사 소프트웨어와 대조해 수작업으로 분류하는 것은 현실적이지 않으며, 그래서 CRA는 사실상 SBOM과 자동화된 매칭 프로세스를 전제로 합니다.

소프트웨어에 무엇이 들어 있는지에 대한 정확한 인벤토리가 필요하고, 그 인벤토리를 CVE 피드와 지속적으로 매칭해야 합니다.

CRACI는 빌드에서 SBOM을 생성하고, 새 CVE 레코드가 공개될 때마다 SBOM과 매칭하며, 실제로 출시하는 코드에 닿는 권고만 보여 줍니다. CRA가 보관을 요구하는 문서도 함께 제공합니다.

취약점 추적이 실제로 어떻게 작동하는지, 그 주변에서 무엇을 자동화할지, 그리고 남은 것에서 노이즈를 줄이는 방법을 확인하세요.