CVE

CVE significa Common Vulnerabilities and Exposures. Uma CVE é um identificador único, como CVE-2024-3094, atribuído a uma vulnerabilidade de segurança divulgada publicamente, juntamente com um breve registo que a descreve. O programa CVE emite os identificadores através de centenas de CVE Numbering Authorities. Uma CVE diz de que vulnerabilidade se trata; não diz quão grave é nem como corrigi-la.

Como é um ID CVE

Um ID CVE tem a forma CVE-YYYY-NNNN: o prefixo, um ano e um número sequencial com quatro ou mais algarismos. CVE-2021-44228 é o Log4Shell no Apache Log4j; CVE-2024-3094 é a porta traseira na biblioteca de compressão xz.

O ano é aquele em que o ID foi reservado ou em que a vulnerabilidade se tornou pública, não necessariamente o ano em que foi descoberta ou corrigida. Um ID reservado em dezembro e publicado em fevereiro mantém o ano anterior, e é por isso que uma CVE «de 2025» pode aparecer em 2026.

Quem atribui IDs CVE

O programa CVE foi fundado em 1999. É patrocinado pela agência norte-americana Cybersecurity and Infrastructure Security Agency (CISA), gerido pela MITRE como secretariado e governado por um CVE Board.

Os IDs são atribuídos pelas CVE Numbering Authorities (CNA): fabricantes de software, projetos open source, CERT, plataformas de bug bounty e empresas de investigação, cada uma para um âmbito acordado, normalmente os seus próprios produtos. A Microsoft atribui IDs para produtos Microsoft, o projeto do kernel Linux para o kernel, o GitHub para projetos que reportam através do GitHub. A lista de parceiros CVE tem mais de 500 organizações. As Roots e Top-Level Roots (MITRE e CISA) recrutam e supervisionam as CNA, e uma CNA of Last Resort trata os relatórios que nenhuma outra CNA abrange. Os Authorized Data Publishers (ADP) acrescentam informação a registos publicados por outros; o ADP da CISA acrescenta, por exemplo, pontos de decisão SSVC e o estado KEV.

Se precisar de um ID para uma vulnerabilidade no seu próprio produto, veja IDs CVE e CNA.

O ciclo de vida de um registo CVE

1. Uma vulnerabilidade é descoberta e reportada ao fabricante ou a uma CNA.
2. A CNA reserva um ID, muitas vezes enquanto a vulnerabilidade ainda está sob embargo e antes de existir uma correção.
3. A CNA publica o registo: uma descrição, os produtos e versões afetados e referências. Pode acrescentar uma pontuação CVSS e uma CWE.
4. Outros enriquecem-no: os ADP acrescentam dados ao registo, e bases a jusante como a NVD, a EUVD e as distribuições Linux acrescentam as suas próprias pontuações, nomes de produtos e estado das correções.
5. O registo pode ser atualizado mais tarde, ou rejeitado se se revelar um duplicado ou não for uma vulnerabilidade.

Os registos usam o formato CVE JSON 5 e são publicados no repositório cvelistV5, que alimenta as nossas tendências de publicação de CVE.

CVE vs. CVSS vs. CWE vs. NVD vs. EUVD

Termo	O que é	Gerido por	Exemplo	Responde a
CVE	ID e registo de uma vulnerabilidade	Programa CVE	CVE-2024-3094	Que vulnerabilidade?
CVSS	Pontuação de gravidade de 0 a 10, com vetor	FIRST	10.0 Critical	Quão grave, em geral?
CWE	Catálogo de tipos de fraquezas	MITRE	CWE-79 (XSS)	Que tipo de erro?
NVD	Base que enriquece os registos CVE	NIST	CVSS, CWE, CPE	Que produtos, que gravidade?
EUVD	Base europeia de vulnerabilidades	ENISA	EUVD-2025-4893	A visão da UE do mesmo problema
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Que versões do pacote?
OSV	Formato e base abertos de avisos	OpenSSF, Google	Reúne GHSA e outros	Que versões do pacote?

• CVSS (FIRST, versão 4.0 desde novembro de 2023) mede a gravidade, não o risco. Uma CVE pode ter várias pontuações: a da CNA, a da NVD, a de uma distribuição.
• CWE (cwe.mitre.org) classifica o erro por trás de uma vulnerabilidade, como cross-site scripting ou uma escrita fora dos limites. Muitas CVE partilham uma CWE.
• A NVD não é a lista CVE. A National Vulnerability Database do NIST pega nos registos CVE publicados e acrescenta análise, incluindo os nomes CPE que os scanners usam para associar produtos. Uma CVE existe assim que a sua CNA a publica, quer a NVD a tenha enriquecido quer não.
• A EUVD é a base da ENISA, operacional desde 13 de maio de 2025 (ENISA). Atribui a cada entrada um ID EUVD e lista os IDs CVE e GHSA como aliases. A ENISA é também uma CNA desde janeiro de 2024. Ao abrigo do CRA, as vulnerabilidades corrigidas notificadas através da Single Reporting Platform podem depois ser divulgadas na EUVD.
• GHSA e OSV estão organizados por ecossistema e pacote e não por produto, por isso correspondem diretamente ao package URL de um componente.

Há mais dois sinais que assentam numa CVE: se está a ser explorada (KEV da CISA) e qual a probabilidade de vir a ser (EPSS). A forma como as equipas os combinam é explicada em priorização de vulnerabilidades.

Porque a mesma CVE aparece muitas vezes numa análise

Um scanner reporta resultados, não CVE. Uma CVE torna-se muitos resultados quando vários componentes incluem a mesma biblioteca, quando vários produtos ou imagens a distribuem, ou quando duas ferramentas a reportam com IDs diferentes. «400 CVE» num relatório são muitas vezes bastante menos vulnerabilidades distintas; veja reduzir o ruído das vulnerabilidades.

2025 e 2026: o susto do financiamento e as alterações na NVD

• Abril de 2025. A MITRE informou o CVE Board de que o seu contrato para gerir o programa expirava a 16 de abril. A CISA prolongou-o durante a noite, por 11 meses (The Record), e afirmou que se tratava de uma questão de administração do contrato e não de financiamento. Membros do CVE Board anunciaram a CVE Foundation, uma organização sem fins lucrativos destinada a dar ao programa uma governação independente. Desde então, os registos CVE têm sido publicados sem interrupção, até novembro de 2026.
• Maio de 2025. A ENISA lançou a EUVD, amplamente descrita como uma forma de a Europa depender menos de um único programa gerido pelos EUA.
• NVD. Em abril de 2025, o NIST marcou como adiadas as CVE publicadas antes de 2018 que ainda aguardavam enriquecimento. Desde 15 de abril de 2026, só enriquece as CVE que cumprem critérios de prioridade, começando pelas entradas do KEV da CISA, e marca as restantes como «Lowest Priority - not scheduled for immediate enrichment» (NIST). As ferramentas que só fazem correspondência com os dados CPE da NVD veem agora mais lacunas; a correspondência por pacote (OSV, GHSA, package URL) depende menos da NVD.

Quantas CVE são publicadas

O programa CVE publicou 39.718 registos em 2024 e 47.801 em 2025, e o ritmo continua a aumentar. A contagem do ano em curso, por semana e por CNA, está em tendências de publicação de CVE; o que esse volume significa para uma equipa pequena é explicado em automação da gestão de vulnerabilidades. Os casos recentes com página própria estão em vulnerabilidades.

As CVE e o seu software

Saber que CVE o afetam começa por saber que componentes e versões cada build contém realmente: veja SBOM do momento do build e somos afetados por uma CVE?. A correção é abordada em remediação de CVE, as vulnerabilidades sem correção em vulnerabilidade zero-day e o processo global em gestão de vulnerabilidades. Uma CVE descreve uma vulnerabilidade, não um exploit: muitas CVE nunca são exploradas.

O CRACI associa os componentes registados em cada build às vulnerabilidades publicadas e volta a avaliá-los à medida que surgem novas CVE.