CPE

Common Platform Enumeration（CPE）是網路安全領域中，用來表示 IT 產品（應用程式、作業系統與硬體）的結構化命名體系。2.3 版由 NIST 在 NISTIR 7695（2011 年 8 月）中制定。National Vulnerability Database（NVD）以 CPE 名稱說明 CVE 影響哪些產品，並維護官方的 CPE 字典。

CPE 2.3 格式

CPE 2.3 名稱在前綴 cpe:2.3 之後有 11 個屬性：part、vendor、product、version、update、edition、language、sw_edition、target_sw、target_hw 與 other。part 為 a 表示應用程式，o 表示作業系統，h 表示硬體。* 代表任意值，- 代表不適用。

cpe:2.3:a:microsoft:internet_explorer:8.0.6001:beta:*:*:*:*:*:*
cpe:2.3:a:lodash:lodash:4.17.20:*:*:*:*:node.js:*:*
cpe:2.3:h:raspberrypi:raspberry_pi_4_model_b:-:*:*:*:*:*:*:*

第一個是規格中的範例。第二個是 npm 函式庫 lodash，目標軟體為 node.js。第三個是一項硬體。三者都收錄在 NVD 字典中。

CPE 比對如何運作，以及哪裡會出錯

NVD 記錄會列出 CVE 適用的 CPE，通常附有版本範圍。掃描工具會將 SBOM 中的每個元件轉換成推測的 CPE，再加以比較。會出錯的地方有三個：

• 名稱模稜兩可。 字典中的 vendor 與 product，不一定是套件在其生態系中的名稱。xz 函式庫是 cpe:2.3:a:tukaani:xz，而 Debian 則以套件 xz-utils 的名稱發布它。從套件名稱推測出的 CPE，可能比對到錯誤的產品，或什麼都比對不到。
• 範圍過廣。 適用範圍的描述可能涵蓋未受影響的版本或平台，例如實際上只有一種建置組態受影響，卻涵蓋了該產品的所有版本。每個比對到的元件都會成為需要分級研判的檢測結果。
• 資料缺漏。 NIST 表示「自 2024 年初起，NVD 累積了大量尚未補充資訊的 CVE」。自 2026 年 4 月 15 日起，NVD 依優先順序補充 CVE 資訊（CISA KEV 項目、聯邦政府使用的軟體與 EO 14028 關鍵軟體優先），其餘則標示為「Lowest Priority - not scheduled for immediate enrichment」（NIST）。CVE Numbering Authority 可在 CVE 記錄中提供受影響的產品（包括 CPE），NVD 自 2026 年 6 月起也將 CNA 與 ADP 提供的受影響資料納入其記錄，但涵蓋程度因 CNA 而異。Yocto Project 的 5.2 版本說明直白地指出了影響：使用以 CPE 為基礎的檢查時，「有些漏洞根本不會被回報」。

比對到錯誤的產品是誤報的來源之一；請參閱如何減少漏洞雜訊。

CPE 與 Package URL 的比較

	Package URL	CPE
由誰定義名稱	套件所屬的生態系	NVD 的 CPE 字典
識別對象	套件庫或發行版中的套件	產品，包括硬體與作業系統
格式	pkg:type/namespace/name@version	cpe:2.3:part:vendor:product:version:...
標準	ECMA-427	NISTIR 7695（CPE 2.3）
使用者	OSV、GitHub 資安公告、SBOM 工具	NVD、許多掃描工具
常見問題	內嵌（vendored）或人工列出的程式碼缺少	vendor 與 product 名稱模稜兩可；許多新 CVE 沒有 CPE 資料

只要有套件生態系，就使用 Package URL；商業產品、韌體與硬體使用 CPE；要求兩者時則兩者都用。CISA 的 2026 Minimum Elements 將 CPE 與 Package-URL 列為常見的識別碼，BSI TR-03183-2 則要求每個元件在有這類識別碼時都須提供。

SBOM 中的 CPE

CycloneDX 在每個元件上都有 cpe 欄位，SPDX 則將 CPE 作為外部識別碼記載。如果您是供應商，請填入 NVD 實際用於您產品的 CPE（可在字典中查詢），而不要自行編造：編造的 CPE 什麼都比對不到。識別碼是 SBOM 欄位品質的一部分；清單中是否缺少任何項目，則是另一個問題，也就是 SBOM 完整性。

CRACI 以 Package URL 識別建置引入的每個套件。請參閱建置時 SBOM。