CVE

CVE staat voor Common Vulnerabilities and Exposures. Een CVE is een unieke identificator, zoals CVE-2024-3094, die wordt toegekend aan één openbaar bekendgemaakte beveiligingskwetsbaarheid, met een kort record dat haar beschrijft. Het CVE-programma geeft de ID's uit via honderden CVE Numbering Authorities. Een CVE zegt om welke kwetsbaarheid het gaat; ze zegt niet hoe ernstig die is of hoe u haar oplost.

Hoe een CVE-ID eruitziet

Een CVE-ID heeft de vorm CVE-YYYY-NNNN: het voorvoegsel, een jaartal en een volgnummer van vier of meer cijfers. CVE-2021-44228 is Log4Shell in Apache Log4j; CVE-2024-3094 is de achterdeur in de compressiebibliotheek xz.

Het jaartal is het jaar waarin de ID werd gereserveerd of de kwetsbaarheid openbaar werd, niet per se het jaar waarin ze werd gevonden of opgelost. Een ID die in december is gereserveerd en in februari is gepubliceerd, houdt het eerdere jaar; daarom kan een "2025"-CVE in 2026 opduiken.

Wie CVE-ID's toekent

Het CVE-programma werd in 1999 opgericht. Het wordt gesponsord door de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA), uitgevoerd door MITRE als secretariaat en bestuurd door een CVE Board.

ID's worden toegekend door CVE Numbering Authorities (CNA's): softwareleveranciers, open-sourceprojecten, CERT's, bugbountyplatforms en onderzoeksbedrijven, elk voor een afgesproken scope, meestal hun eigen producten. Microsoft kent ID's toe voor Microsoft-producten, het Linux-kernelproject voor de kernel, GitHub voor projecten die via GitHub melden. De lijst van CVE-partners telt meer dan 500 organisaties. Roots en Top-Level Roots (MITRE en CISA) werven en overzien CNA's, en een CNA of Last Resort neemt meldingen aan die geen andere CNA dekt. Authorized Data Publishers (ADP's) voegen informatie toe aan records die anderen hebben gepubliceerd; de ADP van CISA voegt bijvoorbeeld SSVC-beslispunten en de KEV-status toe.

Hebt u een ID nodig voor een kwetsbaarheid in uw eigen product, zie dan CVE-ID's en CNA's.

De levenscyclus van een CVE-record

1. Een kwetsbaarheid wordt gevonden en gemeld aan de leverancier of aan een CNA.
2. De CNA reserveert een ID, vaak terwijl de kwetsbaarheid nog onder embargo staat en voordat er een fix is.
3. De CNA publiceert het record: een beschrijving, de getroffen producten en versies, en referenties. Ze kan een CVSS-score en een CWE toevoegen.
4. Anderen verrijken het: ADP's voegen gegevens aan het record toe, en downstreamdatabases zoals de NVD, de EUVD en Linux-distributies voegen hun eigen scores, productnamen en fixstatus toe.
5. Het record kan later worden bijgewerkt, of afgewezen als het een duplicaat blijkt of geen kwetsbaarheid.

Records gebruiken het formaat CVE JSON 5 en worden gepubliceerd in de repository cvelistV5, de gegevens achter onze CVE-publicatietrends.

CVE vs. CVSS vs. CWE vs. NVD vs. EUVD

Term	Wat het is	Beheerd door	Voorbeeld	Beantwoordt
CVE	ID en record voor één kwetsbaarheid	CVE-programma	CVE-2024-3094	Welke kwetsbaarheid?
CVSS	Ernstscore van 0 tot 10, met vector	FIRST	10.0 Critical	Hoe erg, in het algemeen?
CWE	Catalogus van soorten zwakheden	MITRE	CWE-79 (XSS)	Wat voor fout?
NVD	Database die CVE-records verrijkt	NIST	CVSS, CWE, CPE	Welke producten, hoe ernstig?
EUVD	Europese kwetsbaarhedendatabase	ENISA	EUVD-2025-4893	De EU-blik op hetzelfde probleem
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Welke pakketversies?
OSV	Open formaat en advisorydatabase	OpenSSF, Google	Verzamelt GHSA en andere	Welke pakketversies?

• CVSS (FIRST, versie 4.0 sinds november 2023) meet ernst, geen risico. Eén CVE kan meerdere scores hebben: een van de CNA, een van de NVD, een van een distributie.
• CWE (cwe.mitre.org) classificeert de fout achter een kwetsbaarheid, zoals cross-site scripting of een schrijfactie buiten de grenzen. Veel CVE's delen één CWE.
• De NVD is niet de CVE-lijst. De National Vulnerability Database van NIST neemt gepubliceerde CVE-records over en voegt analyse toe, waaronder de CPE-namen waarmee scanners producten matchen. Een CVE bestaat zodra haar CNA haar publiceert, of de NVD haar nu verrijkt heeft of niet.
• De EUVD is de database van ENISA, operationeel sinds 13 mei 2025 (ENISA). Ze geeft elk item een EUVD-ID en vermeldt de CVE- en GHSA-ID's als aliassen. ENISA is bovendien sinds januari 2024 een CNA. Onder de CRA kunnen opgeloste kwetsbaarheden die via het gemeenschappelijke meldplatform zijn gemeld, later in de EUVD worden bekendgemaakt.
• GHSA en OSV zijn per ecosysteem en pakket georganiseerd in plaats van per product, en passen daardoor direct bij de package URL van een component.

Twee andere signalen bouwen voort op een CVE: of ze wordt misbruikt (CISA KEV) en hoe waarschijnlijk misbruik is (EPSS). Hoe teams die combineren, staat in kwetsbaarheidsprioritering.

Waarom dezelfde CVE vaak opduikt in een scan

Een scanner meldt bevindingen, geen CVE's. Eén CVE wordt veel bevindingen als meerdere componenten dezelfde bibliotheek bundelen, als meerdere producten of images haar leveren, of als twee tools haar onder verschillende ID's melden. "400 CVE's" in een rapport zijn vaak veel minder afzonderlijke kwetsbaarheden; zie kwetsbaarheidsruis verminderen.

2025 en 2026: de financieringsschrik en wijzigingen bij de NVD

• April 2025. MITRE liet de CVE Board weten dat zijn contract om het programma uit te voeren op 16 april zou aflopen. CISA verlengde het 's nachts met 11 maanden (The Record) en verklaarde dat het om contractbeheer ging en niet om financiering. Leden van de CVE Board kondigden de CVE Foundation aan, een non-profitorganisatie die het programma een onafhankelijk bestuur moet geven. CVE-records worden sindsdien zonder onderbreking gepubliceerd, tot en met november 2026.
• Mei 2025. ENISA lanceerde de EUVD, breed beschreven als een manier waarop Europa minder afhankelijk wordt van één door de VS geleid programma.
• NVD. In april 2025 markeerde NIST vóór 2018 gepubliceerde CVE's die nog op verrijking wachtten als uitgesteld. Sinds 15 april 2026 verrijkt het alleen CVE's die aan prioriteitscriteria voldoen, met items in de CISA KEV voorop, en markeert het de rest als "Lowest Priority - not scheduled for immediate enrichment" (NIST). Tools die alleen op de CPE-gegevens van de NVD matchen, zien nu meer gaten; matching per pakket (OSV, GHSA, package URL's) hangt minder van de NVD af.

Hoeveel CVE's er worden gepubliceerd

Het CVE-programma publiceerde 39.718 records in 2024 en 47.801 in 2025, en het tempo blijft stijgen. Het aantal voor het lopende jaar, per week en per CNA, staat bij CVE-publicatietrends; wat dat volume voor een klein team betekent, leest u in automatisering van kwetsbaarheidsbeheer. Recente gevallen met een eigen pagina staan onder kwetsbaarheden.

CVE's en uw software

Weten welke CVE's u treffen, begint met weten welke componenten en versies elke build werkelijk bevat: zie build-time SBOM's en zijn we getroffen door een CVE?. Het oplossen staat in CVE-remediatie, kwetsbaarheden zonder fix in zero-daykwetsbaarheid, en het bredere proces in kwetsbaarheidsbeheer. Een CVE beschrijft een kwetsbaarheid, geen exploit: veel CVE's worden nooit misbruikt.

CRACI matcht de componenten die in elke build zijn vastgelegd met gepubliceerde kwetsbaarheden en beoordeelt ze opnieuw zodra er nieuwe CVE's verschijnen.