CVE

CVE oznacza Common Vulnerabilities and Exposures. CVE to unikalny identyfikator, np. CVE-2024-3094, nadawany jednej publicznie ujawnionej podatności bezpieczeństwa, wraz z krótkim rekordem, który ją opisuje. Program CVE wydaje identyfikatory za pośrednictwem setek CVE Numbering Authorities. CVE mówi, o którą podatność chodzi; nie mówi, jak jest poważna ani jak ją usunąć.

Jak wygląda identyfikator CVE

Identyfikator CVE ma postać CVE-YYYY-NNNN: prefiks, rok i numer kolejny złożony z czterech lub więcej cyfr. CVE-2021-44228 to Log4Shell w Apache Log4j; CVE-2024-3094 to tylne drzwi w bibliotece kompresji xz.

Rok to rok, w którym zarezerwowano identyfikator lub w którym podatność stała się publiczna, niekoniecznie rok jej wykrycia lub usunięcia. Identyfikator zarezerwowany w grudniu i opublikowany w lutym zachowuje wcześniejszy rok, dlatego CVE „z 2025 roku” może pojawić się w 2026.

Kto nadaje identyfikatory CVE

Program CVE powstał w 1999 roku. Sponsoruje go amerykańska agencja Cybersecurity and Infrastructure Security Agency (CISA), prowadzi MITRE jako sekretariat, a nadzoruje CVE Board.

Identyfikatory nadają CVE Numbering Authorities (CNA): producenci oprogramowania, projekty open source, zespoły CERT, platformy bug bounty i firmy badawcze, każda w uzgodnionym zakresie, zwykle dla własnych produktów. Microsoft nadaje identyfikatory dla produktów Microsoftu, projekt jądra Linux dla jądra, GitHub dla projektów zgłaszających przez GitHub. Lista partnerów CVE obejmuje ponad 500 organizacji. Roots i Top-Level Roots (MITRE i CISA) pozyskują i nadzorują CNA, a CNA of Last Resort przyjmuje zgłoszenia, których nie obejmuje żadna inna CNA. Authorized Data Publishers (ADP) dodają informacje do rekordów opublikowanych przez innych; ADP CISA dodaje np. punkty decyzyjne SSVC i status KEV.

Jeśli potrzebują Państwo identyfikatora dla podatności we własnym produkcie, zob. identyfikatory CVE i CNA.

Cykl życia rekordu CVE

1. Podatność zostaje wykryta i zgłoszona producentowi lub CNA.
2. CNA rezerwuje identyfikator, często gdy podatność jest jeszcze objęta embargiem i zanim powstanie poprawka.
3. CNA publikuje rekord: opis, objęte produkty i wersje oraz odnośniki. Może dodać ocenę CVSS i CWE.
4. Inni go wzbogacają: ADP dodają dane do rekordu, a bazy niższego szczebla, takie jak NVD, EUVD i dystrybucje Linuksa, dodają własne oceny, nazwy produktów i status poprawek.
5. Rekord może zostać później zaktualizowany albo odrzucony, jeśli okaże się duplikatem lub nie jest podatnością.

Rekordy mają format CVE JSON 5 i są publikowane w repozytorium cvelistV5, z którego korzystają nasze trendy publikacji CVE.

CVE a CVSS, CWE, NVD i EUVD

Termin	Czym jest	Prowadzi	Przykład	Odpowiada na pytanie
CVE	Identyfikator i rekord jednej podatności	Program CVE	CVE-2024-3094	Która podatność?
CVSS	Ocena wagi od 0 do 10, z wektorem	FIRST	10.0 Critical	Jak poważna, ogólnie?
CWE	Katalog typów słabości	MITRE	CWE-79 (XSS)	Jaki rodzaj błędu?
NVD	Baza wzbogacająca rekordy CVE	NIST	CVSS, CWE, CPE	Które produkty, jaka waga?
EUVD	Europejska baza podatności	ENISA	EUVD-2025-4893	Spojrzenie UE na ten sam problem
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Które wersje pakietu?
OSV	Otwarty format i baza biuletynów	OpenSSF, Google	Zbiera GHSA i inne	Które wersje pakietu?

• CVSS (FIRST, wersja 4.0 od listopada 2023) mierzy wagę, a nie ryzyko. Jedna CVE może mieć kilka ocen: od CNA, od NVD, od dystrybucji.
• CWE (cwe.mitre.org) klasyfikuje błąd stojący za podatnością, np. cross-site scripting lub zapis poza granicami bufora. Wiele CVE ma tę samą CWE.
• NVD to nie lista CVE. National Vulnerability Database prowadzona przez NIST przejmuje opublikowane rekordy CVE i dodaje analizę, w tym nazwy CPE, których skanery używają do dopasowania produktów. CVE istnieje od chwili, gdy opublikuje ją CNA, niezależnie od tego, czy NVD ją wzbogaciła.
• EUVD to baza ENISA, działająca od 13 maja 2025 roku (ENISA). Nadaje każdemu wpisowi identyfikator EUVD i podaje identyfikatory CVE i GHSA jako aliasy. ENISA jest też CNA od stycznia 2024 roku. Na mocy CRA usunięte podatności zgłoszone przez Single Reporting Platform mogą później zostać ujawnione w EUVD.
• GHSA i OSV są zorganizowane według ekosystemów i pakietów, a nie produktów, więc pasują bezpośrednio do package URL komponentu.

Na CVE opierają się jeszcze dwa sygnały: czy jest wykorzystywana (CISA KEV) i jak prawdopodobne jest jej wykorzystanie (EPSS). Jak zespoły je łączą, opisuje priorytetyzacja podatności.

Dlaczego ta sama CVE pojawia się w skanie wiele razy

Skaner zgłasza znaleziska, a nie CVE. Jedna CVE staje się wieloma znaleziskami, gdy kilka komponentów zawiera tę samą bibliotekę, gdy dostarcza ją kilka produktów lub obrazów albo gdy dwa narzędzia zgłaszają ją pod różnymi identyfikatorami. „400 CVE” w raporcie to często znacznie mniej odrębnych podatności; zob. ograniczanie szumu podatności.

Lata 2025 i 2026: obawy o finansowanie i zmiany w NVD

• Kwiecień 2025. MITRE poinformowała CVE Board, że jej umowa na prowadzenie programu wygasa 16 kwietnia. CISA przedłużyła ją w ciągu nocy o 11 miesięcy (The Record) i stwierdziła, że chodziło o kwestię administrowania umową, a nie o finansowanie. Członkowie CVE Board ogłosili powstanie CVE Foundation, organizacji non-profit, która ma zapewnić programowi niezależny nadzór. Od tego czasu rekordy CVE są publikowane bez przerwy, do listopada 2026 roku.
• Maj 2025. ENISA uruchomiła EUVD, powszechnie opisywaną jako sposób na zmniejszenie zależności Europy od jednego programu prowadzonego przez USA.
• NVD. W kwietniu 2025 roku NIST oznaczył jako odroczone CVE opublikowane przed 2018 rokiem, które wciąż czekały na wzbogacenie. Od 15 kwietnia 2026 roku wzbogaca tylko CVE spełniające kryteria priorytetu, zaczynając od wpisów w CISA KEV, a pozostałe oznacza jako „Lowest Priority - not scheduled for immediate enrichment” (NIST). Narzędzia dopasowujące wyłącznie na podstawie danych CPE z NVD widzą teraz więcej luk; dopasowanie według pakietów (OSV, GHSA, package URL) mniej zależy od NVD.

Ile CVE jest publikowanych

Program CVE opublikował 39 718 rekordów w 2024 roku i 47 801 w 2025 roku, a tempo wciąż rośnie. Liczba dla bieżącego roku, w podziale na tygodnie i CNA, jest dostępna w trendach publikacji CVE; co ta skala oznacza dla małego zespołu, wyjaśnia automatyzacja zarządzania podatnościami. Najnowsze przypadki z własnymi stronami znajdują się w sekcji podatności.

CVE a Państwa oprogramowanie

Ustalenie, które CVE Państwa dotyczą, zaczyna się od wiedzy, jakie komponenty i wersje faktycznie zawiera każdy build: zob. SBOM z czasu buildu i czy dotyczy nas ta CVE?. Usuwanie opisuje usuwanie CVE, podatności bez poprawki podatność zero-day, a cały proces zarządzanie podatnościami. CVE opisuje podatność, a nie exploit: wiele CVE nigdy nie zostaje wykorzystanych.

CRACI dopasowuje komponenty zarejestrowane w każdym buildzie do opublikowanych podatności i ponownie je ocenia, gdy pojawiają się nowe CVE.