CPE

Common Platform Enumeration (CPE) is een gestructureerd naamgevingsschema voor IT-producten in cybersecurity: applicaties, besturingssystemen en hardware. Versie 2.3 is door NIST vastgelegd in NISTIR 7695 (augustus 2011). De National Vulnerability Database (NVD) gebruikt CPE-namen om aan te geven welke producten een CVE treft, en beheert het officiële CPE-woordenboek.

Het CPE 2.3-formaat

Een CPE 2.3-naam heeft na het voorvoegsel cpe:2.3 elf attributen: part, vendor, product, version, update, edition, language, sw_edition, target_sw, target_hw en other. Het deel (part) is a voor een applicatie, o voor een besturingssysteem en h voor hardware. Een * betekent elke waarde en een - betekent niet van toepassing.

cpe:2.3:a:microsoft:internet_explorer:8.0.6001:beta:*:*:*:*:*:*
cpe:2.3:a:lodash:lodash:4.17.20:*:*:*:*:node.js:*:*
cpe:2.3:h:raspberrypi:raspberry_pi_4_model_b:-:*:*:*:*:*:*:*

De eerste is het voorbeeld uit de specificatie. De tweede is de npm-bibliotheek lodash, met node.js als doelsoftware. De derde is een stuk hardware. Alle drie staan in het NVD-woordenboek.

Hoe CPE-matching werkt, en waar het misgaat

Een NVD-record vermeldt de CPE's waarop een CVE van toepassing is, vaak met versiebereiken. Een scanner maakt van elk component in een SBOM een CPE-gok en vergelijkt. Drie dingen gaan mis:

• Dubbelzinnige namen. Leverancier en product in het woordenboek zijn niet altijd hoe het pakket in zijn ecosysteem heet. De xz-bibliotheek is cpe:2.3:a:tukaani:xz, terwijl Debian haar levert als het pakket xz-utils. Een gok op basis van de pakketnaam raakt het verkeerde product of geen enkel.
• Te ruime bereiken. Een toepasselijkheidsverklaring kan versies of platforms dekken die niet getroffen zijn, bijvoorbeeld elke versie van een product terwijl maar één buildconfiguratie getroffen was. Elk component dat matcht, wordt een bevinding om te triëren.
• Ontbrekende gegevens. NIST schrijft dat "de NVD vanaf begin 2024 een aanzienlijke achterstand van niet-verrijkte CVE's opbouwde". Sinds 15 april 2026 verrijkt ze CVE's op prioriteit (eerst items in de CISA KEV, software die de Amerikaanse federale overheid gebruikt en kritieke software volgens EO 14028) en markeert ze de rest als "Lowest Priority - not scheduled for immediate enrichment" (NIST). CVE Numbering Authorities kunnen getroffen producten, inclusief CPE's, in het CVE-record aanleveren, en de NVD neemt die door CNA's en ADP's aangeleverde gegevens sinds juni 2026 op in haar records, maar de dekking verschilt per CNA. De release notes van 5.2 van het Yocto Project zeggen het zonder omwegen: bij CPE-gebaseerde controles worden "sommige kwetsbaarheden gewoon niet gemeld".

Het verkeerde product matchen is een bron van false positives; zie kwetsbaarheidsruis verminderen.

CPE vs. Package URL

	Package URL	CPE
Wie de naam bepaalt	Het ecosysteem van het pakket	Het CPE-woordenboek van de NVD
Identificeert	Een pakket in een registry of distributie	Een product, inclusief hardware en besturingssystemen
Formaat	pkg:type/namespace/name@version	cpe:2.3:part:vendor:product:version:...
Standaard	ECMA-427	NISTIR 7695 (CPE 2.3)
Gebruikt door	OSV, GitHub-advisories, SBOM-tools	NVD, veel scanners
Typische fout	Ontbreekt bij gevendorde of handmatig vermelde code	Dubbelzinnige leveranciers- en productnamen; geen CPE-gegevens voor veel nieuwe CVE's

Gebruik een package URL overal waar een pakketecosysteem bestaat, een CPE voor commerciële producten, firmware en hardware, en beide waar een eis om beide vraagt. De 2026 Minimum Elements van CISA noemen CPE en Package-URL als gangbare identificatoren, en de BSI TR-03183-2 vereist zulke identificatoren voor elk component als ze bestaan.

CPE's in SBOM's

CycloneDX heeft een veld cpe op elk component, en SPDX neemt CPE's op als externe identificatoren. Bent u leverancier, vul dan de CPE in die de NVD werkelijk voor uw product gebruikt (zoek die op in het woordenboek) in plaats van er een te verzinnen: een verzonnen CPE matcht niets. Identificatoren zijn één onderdeel van de veldkwaliteit van een SBOM; of er iets in de lijst ontbreekt, is een aparte vraag, de SBOM-volledigheid.

CRACI identificeert elk pakket dat een build binnenhaalt aan zijn package URL. Zie build-time SBOM's.