Trendy publikacji CVE

W 2025 opublikowano 47 802 rekordów CVE, o 20% więcej niż rok wcześniej. 2026 osiągnął już 88 746, a do końca roku wciąż zostają miesiące.

Wolumen rośnie każdego roku od początku CVE Program, ale tempo wzrostu wyraźnie zmieniło się w 2026 roku. Trend według miesięcy, kwartałów lub lat pokazuje wykres powyżej.

Na tej stronie. Powyższy wykres i dane to statystyki CVE odbudowywane codziennie z repozytorium cvelistV5 prowadzonego przez CVE Program, tego samego źródła, z którego publikuje CVE Program.

Obejmują wolumen publikacji według dotkliwości CVSS, organizacji przypisującej oraz tygodnia, miesiąca, kwartału lub roku, a także najnowsze rekordy krytyczne. Szczegóły pojedynczej podatności są dostępne po przejściu z identyfikatora na cve.org.

Dzieją się trzy rzeczy naraz, a opublikowany rejestr nie pozwala ich rozdzielić.

Więcej organizacji może teraz przypisywać identyfikatory CVE, więc rejestrowane są podatności, które wcześniej nigdy by nie zostały zarejestrowane. Automatyczne i wspomagane przez AI wykrywanie podatności zwiększyło to, ile może znaleźć jeden badacz. A program uzupełniania danych CISA dopisuje szczegóły do starszych rekordów, co zmienia dane historyczne po fakcie.

Rosnąca liczba CVE nie jest więc sama w sobie dowodem na to, że oprogramowanie staje się mniej bezpieczne.

CNA to organizacja upoważniona do przypisywania identyfikatorów CVE i publikowania rekordów w swoim zakresie, zwykle dla własnych produktów. W tym zbiorze danych występuje 497 CNA.

Jako CNA działają dostawcy, projekty open source, platformy bug bounty i krajowe zespoły CERT. Największy z nich to mitre, z 39 586 rekordami. Ponieważ zmiana procesu w jednym CNA może zauważalnie przesunąć sumy, wykres pozwala filtrować po jednej organizacji naraz.

CVSS ocenia podatność w skali od 0,0 do 10,0 i przypisuje ją do przedziałów: Niska (0,1-3,9), Średnia (4,0-6,9), Wysoka (7,0-8,9) i Krytyczna (9,0-10,0).

Ocena opisuje wewnętrzne cechy techniczne, takie jak sposób dotarcia do podatności i to, co naraża ona na szwank. Nie jest miarą tego, jak bardzo zagrożona jest konkretna organizacja.

18.0% rekordów opublikowanych od 2020 roku nie ma oceny CVSS ani we własnych danych CNA, ani w uzupełnieniu CISA.

Przez większość historii CVE Program ocena nie była wymagana. Pokrycie wyraźnie się poprawia od 2023 roku i obecnie jest niemal pełne, więc kurczące się na wykresie pasmo Nieznana odzwierciedla zmianę praktyki raportowania, a nie zmianę samych podatności. Każda analiza, która pomija rekordy bez oceny, będzie zaniżać starsze lata.

Podatność to wada oprogramowania. CVE to publiczny identyfikator przypisany do konkretnego, ujawnionego jej przypadku.

Większość podatności nigdy nie otrzymuje CVE: są znajdowane i naprawiane wewnętrznie albo wykraczają poza zakres jakiegokolwiek CNA. Liczba CVE mierzy więc aktywność ujawniania, a nie rzeczywistą liczbę istniejących wad.

Każda wartość pochodzi z oficjalnego repozytorium cvelistV5 prowadzonego przez CVE Program, ze snapshotu wykonanego 31 paź 2026 UTC.

Rekordy są liczone według daty publikacji, a nie roku w identyfikatorze CVE, ponieważ mniej więcej jedna piąta rekordów jest publikowana w innym roku niż ten podany w identyfikatorze. Rekordy odrzucone i wycofane są pomijane.

Sama w sobie nie. Krytyczna podatność w komponencie, który Państwo dostarczają, ale nigdy nie wywołują, może być mniej pilna niż średnia w Państwa publicznym API.

Rzeczywista priorytetyzacja wymaga wiedzy o tym, czy dany komponent jest obecny w Państwa oprogramowaniu, czy podatny kod jest osiągalny i czy podatność jest wykorzystywana. CVSS nie odpowiada na żadne z tych pytań.

CRA wymaga od producentów obsługi podatności przez cały okres wsparcia produktu, zgłaszania aktywnie wykorzystywanych podatności do ENISA w ciągu 24 godzin od uzyskania wiedzy o nich oraz utrzymywania aktualnej dokumentacji technicznej.

Te obowiązki rosną wraz z wolumenem widocznym na tym wykresie. Ręczny triaż dziesiątek tysięcy nowych rekordów rocznie względem własnego oprogramowania jest nierealistyczny, dlatego CRA w praktyce zakłada istnienie SBOM i zautomatyzowanego procesu dopasowywania.

Potrzebny jest dokładny inwentarz zawartości Państwa oprogramowania, a następnie ciągłe dopasowywanie tego inwentarza do kanału CVE.

CRACI generuje SBOM z Państwa buildu, dopasowuje go do nowych rekordów CVE w miarę ich publikowania i pokazuje tylko te biuletyny, które dotyczą kodu faktycznie przez Państwa dostarczanego, wraz z dokumentacją, której prowadzenia oczekuje CRA.

Proszę zobaczyć, jak w praktyce działa śledzenie podatności.