CVE

CVE står for Common Vulnerabilities and Exposures. En CVE er en unik identifikator, for eksempel CVE-2024-3094, som tildeles én offentlig kjent sikkerhetssårbarhet, sammen med en kort post som beskriver den. CVE-programmet utsteder ID-ene gjennom hundrevis av CVE Numbering Authorities. En CVE sier hvilken sårbarhet det gjelder; den sier ikke hvor alvorlig den er eller hvordan den rettes.

Slik ser en CVE-ID ut

En CVE-ID har formen CVE-YYYY-NNNN: prefikset, et årstall og et løpenummer på fire eller flere sifre. CVE-2021-44228 er Log4Shell i Apache Log4j; CVE-2024-3094 er bakdøren i komprimeringsbiblioteket xz.

Årstallet er året ID-en ble reservert eller sårbarheten ble offentlig, ikke nødvendigvis året den ble funnet eller rettet. En ID som reserveres i desember og publiseres i februar, beholder det tidligere året, og derfor kan en «2025-CVE» dukke opp i 2026.

Hvem tildeler CVE-ID-er

CVE-programmet ble grunnlagt i 1999. Det sponses av den amerikanske etaten Cybersecurity and Infrastructure Security Agency (CISA), drives av MITRE som sekretariat og styres av et CVE Board.

ID-er tildeles av CVE Numbering Authorities (CNA-er): programvareleverandører, åpen kildekode-prosjekter, CERT-er, bug bounty-plattformer og forskningsselskaper, hver for et avtalt område, som regel egne produkter. Microsoft tildeler ID-er for Microsoft-produkter, Linux-kjerneprosjektet for kjernen, GitHub for prosjekter som rapporterer via GitHub. CVEs partnerliste omfatter mer enn 500 organisasjoner. Roots og Top-Level Roots (MITRE og CISA) rekrutterer og fører tilsyn med CNA-er, og en CNA of Last Resort tar rapporter som ingen annen CNA dekker. Authorized Data Publishers (ADP-er) legger til informasjon i poster som andre har publisert; CISAs ADP legger for eksempel til SSVC-beslutningspunkter og KEV-status.

Trenger du en ID for en sårbarhet i ditt eget produkt, se CVE-ID-er og CNA-er.

En CVE-posts livsløp

1. En sårbarhet blir funnet og rapportert til leverandøren eller til en CNA.
2. CNA-en reserverer en ID, ofte mens sårbarheten fortsatt er under embargo og før det finnes en retting.
3. CNA-en publiserer posten: en beskrivelse, berørte produkter og versjoner samt referanser. Den kan legge til en CVSS-score og en CWE.
4. Andre beriker den: ADP-er legger til data i posten, og nedstrøms databaser som NVD, EUVD og Linux-distribusjoner legger til egne scorer, produktnavn og rettestatus.
5. Posten kan senere bli oppdatert, eller avvist hvis den viser seg å være et duplikat eller ikke en sårbarhet.

Postene bruker formatet CVE JSON 5 og publiseres i repositoriet cvelistV5, som er datakilden bak våre trender for CVE-publisering.

CVE, CVSS, CWE, NVD og EUVD

Term	Hva det er	Drives av	Eksempel	Svarer på
CVE	ID og post for én sårbarhet	CVE-programmet	CVE-2024-3094	Hvilken sårbarhet?
CVSS	Alvorlighetsscore fra 0 til 10, med vektor	FIRST	10.0 Critical	Hvor ille, generelt?
CWE	Katalog over typer svakheter	MITRE	CWE-79 (XSS)	Hva slags feil?
NVD	Database som beriker CVE-poster	NIST	CVSS, CWE, CPE	Hvilke produkter, hvor alvorlig?
EUVD	Europeisk sårbarhetsdatabase	ENISA	EUVD-2025-4893	EUs syn på det samme problemet
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Hvilke pakkeversjoner?
OSV	Åpent format og advisory-database	OpenSSF, Google	Samler GHSA og andre	Hvilke pakkeversjoner?

• CVSS (FIRST, versjon 4.0 siden november 2023) måler alvorlighet, ikke risiko. Én CVE kan ha flere scorer: én fra CNA-en, én fra NVD, én fra en distribusjon.
• CWE (cwe.mitre.org) klassifiserer feilen bak en sårbarhet, for eksempel cross-site scripting eller skriving utenfor grensene. Mange CVE-er deler én CWE.
• NVD er ikke CVE-listen. NISTs National Vulnerability Database tar publiserte CVE-poster og legger til analyse, blant annet CPE-navnene skannere bruker til å matche produkter. En CVE finnes så snart CNA-en publiserer den, enten NVD har beriket den eller ikke.
• EUVD er ENISAs database, i drift siden 13. mai 2025 (ENISA). Den gir hver oppføring en EUVD-ID og oppgir CVE- og GHSA-ID-ene som aliaser. ENISA har dessuten vært CNA siden januar 2024. Under CRA kan rettede sårbarheter som er varslet gjennom Single Reporting Platform, senere bli offentliggjort i EUVD.
• GHSA og OSV er organisert etter økosystem og pakke i stedet for produkt, og passer derfor direkte til en komponents package URL.

To signaler til bygger på en CVE: om den blir utnyttet (CISA KEV), og hvor sannsynlig det er at den blir det (EPSS). Hvordan team kombinerer dem, står i prioritering av sårbarheter.

Hvorfor samme CVE dukker opp mange ganger i en skanning

En skanner rapporterer funn, ikke CVE-er. Én CVE blir mange funn når flere komponenter inneholder samme bibliotek, når flere produkter eller images leverer det, eller når to verktøy rapporterer det under ulike ID-er. «400 CVE-er» i en rapport er ofte langt færre ulike sårbarheter; se reduser sårbarhetsstøyen.

2025 og 2026: finansieringsskrekken og endringer i NVD

• April 2025. MITRE varslet CVE Board om at kontrakten for å drive programmet utløp 16. april. CISA forlenget den over natten med 11 måneder (The Record) og sa at det handlet om kontraktsadministrasjon, ikke finansiering. Medlemmer av CVE Board kunngjorde CVE Foundation, en ideell organisasjon som skal gi programmet en uavhengig styring. CVE-poster har siden blitt publisert uten avbrudd, fram til november 2026.
• Mai 2025. ENISA lanserte EUVD, som i stor grad ble beskrevet som en måte for Europa å bli mindre avhengig av ett program drevet av USA.
• NVD. I april 2025 merket NIST CVE-er publisert før 2018 som fortsatt ventet på berikelse, som utsatt. Siden 15. april 2026 beriker NIST bare CVE-er som oppfyller prioritetskriterier, med oppføringer i CISA KEV først, og merker resten «Lowest Priority - not scheduled for immediate enrichment» (NIST). Verktøy som bare matcher på NVDs CPE-data, ser nå flere hull; matching per pakke (OSV, GHSA, package URL-er) avhenger mindre av NVD.

Hvor mange CVE-er som publiseres

CVE-programmet publiserte 39 718 poster i 2024 og 47 801 i 2025, og tempoet fortsetter å øke. Tallet for inneværende år, per uke og per CNA, finnes under trender for CVE-publisering; hva dette volumet betyr for et lite team, står i automatisering av sårbarhetshåndtering. Aktuelle saker med egne sider finnes under sårbarheter.

CVE-er og programvaren din

Å vite hvilke CVE-er som rammer deg, begynner med å vite hvilke komponenter og versjoner hvert bygg faktisk inneholder: se SBOM-er fra byggetidspunktet og er vi rammet av en CVE?. Rettingen står i CVE-utbedring, sårbarheter uten retting i zero-day-sårbarhet og den samlede prosessen i sårbarhetshåndtering. En CVE beskriver en sårbarhet, ikke en exploit: mange CVE-er blir aldri utnyttet.

CRACI matcher komponentene som er registrert i hvert bygg, mot publiserte sårbarheter og vurderer dem på nytt når nye CVE-er dukker opp.