CVE
En CVE är ett unikt id, till exempel CVE-2024-3094, med en kort offentlig post om en offentliggjord sårbarhet. CVE står för Common Vulnerabilities and Exposures.
Senast uppdaterad: 11 november 2026
CVE står för Common Vulnerabilities and Exposures. En CVE är en unik identifierare, till exempel CVE-2024-3094, som tilldelas en enskild offentliggjord säkerhetssårbarhet, tillsammans med en kort post som beskriver den. CVE-programmet delar ut id:n genom hundratals CVE Numbering Authorities. En CVE säger vilken sårbarhet det gäller; den säger inte hur allvarlig den är eller hur man åtgärdar den.
Hur ett CVE-id ser ut
Ett CVE-id har formen CVE-YYYY-NNNN: prefixet, ett år och ett löpnummer med fyra eller fler siffror. CVE-2021-44228 är Log4Shell i Apache Log4j; CVE-2024-3094 är bakdörren i komprimeringsbiblioteket xz.
Året är det år då id:t reserverades eller sårbarheten blev offentlig, inte nödvändigtvis det år den hittades eller åtgärdades. Ett id som reserveras i december och publiceras i februari behåller det tidigare året, och därför kan en "2025-CVE" dyka upp 2026.
Vem som tilldelar CVE-id:n
CVE-programmet grundades 1999. Det finansieras av den amerikanska myndigheten Cybersecurity and Infrastructure Security Agency (CISA), drivs av MITRE som sekretariat och styrs av en CVE Board.
Id:n tilldelas av CVE Numbering Authorities (CNA:er): programvaruleverantörer, öppen källkod-projekt, CERT:er, bug bounty-plattformar och forskningsföretag, var och en för ett överenskommet område, oftast de egna produkterna. Microsoft tilldelar id:n för Microsofts produkter, Linuxkärnans projekt för kärnan, GitHub för projekt som rapporterar via GitHub. CVE:s partnerlista omfattar mer än 500 organisationer. Roots och Top-Level Roots (MITRE och CISA) rekryterar och övervakar CNA:er, och en CNA of Last Resort tar emot rapporter som ingen annan CNA täcker. Authorized Data Publishers (ADP:er) lägger till information i poster som andra publicerat; CISA:s ADP lägger till exempelvis SSVC-beslutspunkter och KEV-status.
Om du behöver ett id för en sårbarhet i din egen produkt, se CVE-id:n och CNA:er.
En CVE-posts livscykel
- En sårbarhet hittas och rapporteras till leverantören eller till en CNA.
- CNA:n reserverar ett id, ofta medan sårbarheten fortfarande är under embargo och innan det finns en rättning.
- CNA:n publicerar posten: en beskrivning, berörda produkter och versioner samt referenser. Den kan lägga till en CVSS-poäng och en CWE.
- Andra berikar den: ADP:er lägger till data i posten, och nedströmsdatabaser som NVD, EUVD och Linuxdistributioner lägger till egna poäng, produktnamn och rättningsstatus.
- Posten kan senare uppdateras, eller avvisas om den visar sig vara en dubblett eller inte en sårbarhet.
Posterna använder formatet CVE JSON 5 och publiceras i repot cvelistV5, som är datakällan för våra trender för CVE-publicering.
CVE, CVSS, CWE, NVD och EUVD
| Term | Vad det är | Drivs av | Exempel | Svarar på |
|---|---|---|---|---|
| CVE | Id och post för en sårbarhet | CVE-programmet | CVE-2024-3094 | Vilken sårbarhet? |
| CVSS | Allvarlighetspoäng 0 till 10, med vektor | FIRST | 10.0 Critical | Hur illa, generellt? |
| CWE | Katalog över typer av svagheter | MITRE | CWE-79 (XSS) | Vilken sorts misstag? |
| NVD | Databas som berikar CVE-poster | NIST | CVSS, CWE, CPE | Vilka produkter, hur allvarligt? |
| EUVD | Europeisk sårbarhetsdatabas | ENISA | EUVD-2025-4893 | EU:s bild av samma problem |
| GHSA | GitHub Security Advisories | GitHub | GHSA-hgfh-7qxq-x5c9 | Vilka paketversioner? |
| OSV | Öppet format och databas för säkerhetsmeddelanden | OpenSSF, Google | Samlar GHSA och andra | Vilka paketversioner? |
- CVSS (FIRST, version 4.0 sedan november 2023) mäter allvarlighetsgrad, inte risk. En CVE kan ha flera poäng: en från CNA:n, en från NVD, en från en distribution.
- CWE (cwe.mitre.org) klassificerar misstaget bakom en sårbarhet, till exempel cross-site scripting eller skrivning utanför gränserna. Många CVE:er delar samma CWE.
- NVD är inte CVE-listan. NIST:s National Vulnerability Database tar publicerade CVE-poster och lägger till analys, bland annat de CPE-namn som skannrar använder för att matcha produkter. En CVE finns så snart dess CNA publicerar den, oavsett om NVD har berikat den eller inte.
- EUVD är ENISA:s databas, i drift sedan den 13 maj 2025 (ENISA). Den ger varje post ett EUVD-id och listar CVE- och GHSA-id:n som alias. ENISA är dessutom CNA sedan januari 2024. Enligt CRA kan åtgärdade sårbarheter som anmälts via den gemensamma rapporteringsplattformen senare offentliggöras i EUVD.
- GHSA och OSV är ordnade efter ekosystem och paket i stället för produkt och passar därför direkt mot en komponents package URL.
Två signaler till bygger på en CVE: om den utnyttjas (CISA KEV) och hur sannolikt det är att den utnyttjas (EPSS). Hur team kombinerar dem beskrivs i prioritering av sårbarheter.
Varför samma CVE dyker upp många gånger i en skanning
En skanner rapporterar fynd, inte CVE:er. En CVE blir många fynd när flera komponenter paketerar samma bibliotek, när flera produkter eller images levererar det, eller när två verktyg rapporterar det under olika id:n. "400 CVE:er" i en rapport är ofta betydligt färre unika sårbarheter; se minska sårbarhetsbruset.
2025 och 2026: finansieringsoron och förändringar i NVD
- April 2025. MITRE meddelade CVE Board att dess avtal om att driva programmet löpte ut den 16 april. CISA förlängde det över natten med 11 månader (The Record) och sa att det handlat om avtalsadministration, inte finansiering. Ledamöter i CVE Board tillkännagav CVE Foundation, en ideell organisation som ska ge programmet en oberoende styrning. CVE-poster har sedan dess publicerats utan avbrott, fram till november 2026.
- Maj 2025. ENISA lanserade EUVD, som allmänt beskrevs som ett sätt för Europa att bli mindre beroende av ett enda program som drivs av USA.
- NVD. I april 2025 markerade NIST CVE:er publicerade före 2018 som fortfarande väntade på berikning som uppskjutna. Sedan den 15 april 2026 berikar NIST bara CVE:er som uppfyller prioriteringskriterier, med poster i CISA:s KEV först, och märker resten "Lowest Priority - not scheduled for immediate enrichment" (NIST). Verktyg som bara matchar mot NVD:s CPE-data ser nu fler luckor; matchning per paket (OSV, GHSA, package URL:er) är mindre beroende av NVD.
Hur många CVE:er som publiceras
CVE-programmet publicerade 39 718 poster 2024 och 47 801 under 2025, och takten fortsätter att öka. Antalet för innevarande år, per vecka och per CNA, finns i trender för CVE-publicering; vad den volymen innebär för ett litet team beskrivs i automatiserad sårbarhetshantering. Aktuella fall med egna sidor finns under sårbarheter.
CVE:er och din programvara
Att veta vilka CVE:er som berör dig börjar med att veta vilka komponenter och versioner varje bygge faktiskt innehåller: se SBOM:er från bygget och berörs vi av en CVE?. Åtgärder beskrivs i åtgärda CVE:er, sårbarheter utan rättning i zero-day-sårbarhet och den övergripande processen i sårbarhetshantering. En CVE beskriver en sårbarhet, inte en exploit: många CVE:er utnyttjas aldrig.
CRACI matchar komponenterna som registrerats i varje bygge mot publicerade sårbarheter och omvärderar dem när nya CVE:er dyker upp.