Trends in CVE-publicaties

In 2025 zijn 47.802 CVE-records gepubliceerd, 20% meer dan het jaar ervoor. 2026 staat al op 88.746, met nog maanden te gaan.

Het volume is elk jaar gegroeid sinds het CVE Program begon, maar het groeitempo is in 2026 sterk veranderd. Gebruik de grafiek hierboven om de trend per maand, kwartaal of jaar te bekijken.

Op deze pagina. De grafiek en cijfers hierboven zijn CVE-statistieken die dagelijks opnieuw worden opgebouwd uit de cvelistV5-repository van het CVE Program, dezelfde bron waaruit het CVE Program publiceert.

Ze behandelen het publicatievolume naar CVSS-ernst, naar toewijzende organisatie en per week, maand, kwartaal of jaar, samen met de meest recente kritieke records. Voor de details van één kwetsbaarheid volgt u een identifier door naar cve.org.

Er gebeuren drie dingen tegelijk, en de gepubliceerde records kunnen ze niet uit elkaar halen.

Meer organisaties kunnen nu CVE-ID's toewijzen, dus kwetsbaarheden die eerder nooit werden geregistreerd, worden nu vastgelegd. Geautomatiseerde en door AI ondersteunde ontdekking van kwetsbaarheden heeft verhoogd hoeveel één onderzoeker kan vinden. En het verrijkingsprogramma van CISA heeft oudere records achteraf aangevuld, waardoor historische cijfers veranderen.

Stijgende CVE-aantallen zijn dus op zichzelf geen bewijs dat software minder veilig wordt.

Een CNA is een organisatie die bevoegd is om CVE-ID's toe te wijzen en records te publiceren binnen haar eigen scope, meestal haar eigen producten. In deze dataset komen 497 CNA's voor.

Leveranciers, open-sourceprojecten, bugbountyplatforms en nationale CERT's treden allemaal op als CNA. De grootste hier is mitre, met 39.586 records. Omdat één CNA die haar proces verandert de totalen merkbaar kan verschuiven, kunt u in de grafiek op één organisatie tegelijk filteren.

CVSS beoordeelt een kwetsbaarheid van 0,0 tot 10,0 en deelt haar in categorieën in: Laag (0,1-3,9), Gemiddeld (4,0-6,9), Hoog (7,0-8,9) en Kritiek (9,0-10,0).

De score beschrijft intrinsieke technische kenmerken, zoals hoe de kwetsbaarheid wordt bereikt en wat ze compromitteert. Hij meet niet hoeveel risico een bepaalde organisatie loopt.

18.0% van de records die sinds 2020 zijn gepubliceerd, heeft geen CVSS-score in de eigen gegevens van de CNA of in de verrijking van CISA.

Een score was het grootste deel van de geschiedenis van het CVE Program niet verplicht. De dekking verbetert sterk vanaf 2023 en is nu vrijwel volledig, dus dat de categorie Onbekend in de grafiek krimpt, weerspiegelt een verandering in de meldpraktijk en niet in de kwetsbaarheden zelf. Elke analyse die records zonder score negeert, onderschat oudere jaren.

Een kwetsbaarheid is een fout in software. Een CVE is een publieke identifier die wordt toegewezen aan een specifiek, openbaar gemaakt geval daarvan.

De meeste kwetsbaarheden krijgen nooit een CVE: ze worden intern gevonden en opgelost, of ze vallen buiten de scope van elke CNA. CVE-aantallen meten dus de openbaarmakingsactiviteit, niet de werkelijke hoeveelheid fouten die bestaat.

Elk cijfer is opgebouwd uit de officiële cvelistV5-repository van het CVE Program, met de snapshot van 31 okt 2026 UTC.

Records worden geteld op publicatiedatum en niet op het jaar in de CVE-ID, omdat ongeveer een vijfde van de records in een ander jaar wordt gepubliceerd dan de identifier aangeeft. Afgewezen en ingetrokken records zijn uitgesloten.

Niet op zichzelf. Een kritieke kwetsbaarheid in een component die u levert maar nooit aanroept, kan minder urgent zijn dan een kwetsbaarheid met ernst Gemiddeld in uw publieke API.

Voor echte prioritering moet u weten of de getroffen component in uw software aanwezig is, of de kwetsbare code bereikbaar is en of de kwetsbaarheid wordt misbruikt. CVSS beantwoordt geen van die vragen.

De CRA verplicht fabrikanten om kwetsbaarheden af te handelen gedurende de ondersteunde levensduur van een product, actief misbruikte kwetsbaarheden binnen 24 uur nadat ze ervan op de hoogte zijn aan ENISA te melden, en de technische documentatie actueel te houden.

Die plichten groeien mee met het volume in deze grafiek. Tienduizenden nieuwe records per jaar handmatig toetsen aan uw eigen software is niet realistisch, en daarom gaat de CRA in feite uit van een SBOM en een geautomatiseerd matchingproces.

U hebt een nauwkeurige inventaris nodig van wat uw software bevat, en vervolgens doorlopende matching van die inventaris met de CVE-feed.

CRACI genereert een SBOM uit uw build, matcht die met nieuwe CVE-records zodra ze worden gepubliceerd en toont alleen de advisories die code bereiken die u echt levert — samen met de documentatie die u volgens de CRA moet bijhouden.

Zie hoe het volgen van kwetsbaarheden in de praktijk werkt.