CVE
CVE 是一個唯一的 ID（例如 CVE-2024-3094），附有一筆描述單一已揭露資安漏洞的簡短公開紀錄。CVE 是 Common Vulnerabilities and Exposures 的縮寫。
最後更新：2026年11月11日
CVE 是 Common Vulnerabilities and Exposures 的縮寫。CVE 是指派給單一已公開揭露資安漏洞的唯一識別碼（例如 CVE-2024-3094），並附有一筆描述該漏洞的簡短紀錄。CVE Program 透過數百個 CVE Numbering Authority 核發這些 ID。CVE 說明的是「哪一個」漏洞；它不會說明漏洞有多嚴重，也不會說明如何修正。
CVE ID 長什麼樣子
CVE ID 的格式為 CVE-YYYY-NNNN：前綴、年份，以及四位數以上的序號。CVE-2021-44228 是 Apache Log4j 中的 Log4Shell；CVE-2024-3094 是 xz 壓縮函式庫中的後門。
年份是 ID 被保留或漏洞被公開的年份，不一定是發現或修正的年份。12 月保留、2 月發布的 ID 會沿用較早的年份，這就是為什麼「2025」的 CVE 可能在 2026 年才出現。
由誰指派 CVE ID
CVE Program 成立於 1999 年。它由美國網路安全暨基礎設施安全局（CISA）贊助，由 MITRE 擔任秘書處營運，並由 CVE Board 治理。
ID 由 CVE Numbering Authority（CNA） 指派：軟體廠商、開源專案、CERT、漏洞獎勵平台與研究機構，各自負責約定的範圍，通常是自家產品。Microsoft 為 Microsoft 產品指派 ID，Linux kernel 專案為核心指派，GitHub 則為透過 GitHub 通報的專案指派。CVE 合作夥伴清單列有超過 500 個組織。Root 與 Top-Level Root（MITRE 與 CISA）負責招募與監督 CNA，而 CNA of Last Resort 則受理其他 CNA 都不涵蓋的通報。Authorized Data Publisher（ADP） 會在他人發布的紀錄中補充資訊；CISA 的 ADP 會加入 SSVC 決策點與 KEV 狀態等資料。
如果您需要為自家產品中的漏洞取得 ID，請參閱 CVE ID 與 CNA。
CVE 紀錄的生命週期
- 發現漏洞，並向廠商或 CNA 通報。
- CNA 保留一個 ID，通常是在漏洞仍處於保密期、尚無修正之時。
- CNA 發布紀錄：說明、受影響的產品與版本，以及參考資料。它可以加入 CVSS 評分與 CWE。
- 其他單位進行補強：ADP 在紀錄中加入資料，NVD、EUVD 與各 Linux 發行版等下游資料庫則加入自己的評分、產品名稱與修正狀態。
- 紀錄之後可以被更新，若發現是重複或並非漏洞，也可能被駁回。
紀錄採用 CVE JSON 5 格式，並發布在 cvelistV5 儲存庫中，這也是我們 CVE 發布趨勢背後的資料。
CVE、CVSS、CWE、NVD 與 EUVD 的比較
| 術語 | 是什麼 | 營運單位 | 範例 | 回答的問題 |
|---|---|---|---|---|
| CVE | 單一漏洞的 ID 與紀錄 | CVE Program | CVE-2024-3094 | 是哪一個漏洞？ |
| CVSS | 0 到 10 的嚴重程度評分與向量 | FIRST | 10.0 Critical | 一般而言有多嚴重？ |
| CWE | 弱點類型目錄 | MITRE | CWE-79（XSS） | 是哪一類錯誤？ |
| NVD | 補強 CVE 紀錄的資料庫 | NIST | CVSS、CWE、CPE | 哪些產品、有多嚴重？ |
| EUVD | 歐洲漏洞資料庫 | ENISA | EUVD-2025-4893 | 歐盟對同一問題的觀點 |
| GHSA | GitHub Security Advisories | GitHub | GHSA-hgfh-7qxq-x5c9 | 哪些套件版本？ |
| OSV | 開放的資安公告格式與資料庫 | OpenSSF、Google | 彙整 GHSA 等來源 | 哪些套件版本？ |
- CVSS（FIRST，自 2023 年 11 月起為 4.0 版）衡量的是嚴重程度，而不是風險。一個 CVE 可能有多個評分：一個來自 CNA、一個來自 NVD、一個來自發行版。
- CWE（cwe.mitre.org）分類的是漏洞背後的錯誤，例如跨站腳本或越界寫入。許多 CVE 共用同一個 CWE。
- NVD 不是 CVE 清單。 NIST 的 National Vulnerability Database 會取用已發布的 CVE 紀錄並加入分析，包括掃描工具用來比對產品的 CPE 名稱。CVE 在其 CNA 發布的那一刻就已存在，無論 NVD 是否已補強。
- EUVD 是 ENISA 的資料庫，自 2025 年 5 月 13 日起運作（ENISA）。它為每個項目提供 EUVD ID，並將 CVE 與 GHSA ID 列為別名。ENISA 自 2024 年 1 月起也是 CNA。在 CRA 之下，透過 Single Reporting Platform 通報且已修正的漏洞，之後可在 EUVD 中揭露。
- GHSA 與 OSV 以生態系與套件而非產品作為索引，因此可以直接比對元件的 package URL。
CVE 之上還有兩個訊號：它是否正遭到利用（CISA KEV），以及遭利用的可能性有多高（EPSS）。團隊如何結合這些訊號，請參閱漏洞優先順序排定。
為什麼同一個 CVE 會在掃描中出現多次
掃描工具回報的是發現結果，而不是 CVE。當多個元件打包了同一個函式庫、多個產品或映像檔都出貨了它，或兩個工具以不同 ID 回報它時，一個 CVE 就會變成許多項發現結果。報告中的「400 個 CVE」，實際上不同的漏洞往往少得多；請參閱如何減少漏洞雜訊。
2025 與 2026 年：資金風波與 NVD 的變化
- 2025 年 4 月。 MITRE 告知 CVE Board，其營運該計畫的合約將於 4 月 16 日到期。CISA 連夜將合約延長 11 個月（The Record），並表示這是合約管理問題，而非資金問題。CVE Board 成員宣布成立 CVE Foundation，這是一個非營利組織，旨在讓該計畫擁有獨立的治理。此後直到 2026 年 11 月，CVE 紀錄的發布從未中斷。
- 2025 年 5 月。 ENISA 推出 EUVD，外界普遍將其視為歐洲減少依賴單一美國營運計畫的方式。
- NVD。 2025 年 4 月，NIST 將 2018 年以前發布、仍在等待補強的 CVE 標示為延後處理。自 2026 年 4 月 15 日起，它只補強符合優先條件的 CVE，CISA KEV 項目優先，其餘則標示為「Lowest Priority - not scheduled for immediate enrichment」（NIST）。只依 NVD 的 CPE 資料比對的工具，現在會遇到更多缺漏；依套件比對（OSV、GHSA、package URL）則較不依賴 NVD。
每年發布多少 CVE
CVE Program 在 2024 年發布了 39,718 筆紀錄，2025 年發布了 47,801 筆，而且速度持續上升。今年依週與依 CNA 統計的數量，請見 CVE 發布趨勢；這樣的數量對小型團隊意味著什麼，請見漏洞管理自動化。近期有專屬頁面的案例，列在漏洞之下。
CVE 與您的軟體
要知道哪些 CVE 影響您，首先要知道每次建置實際包含哪些元件與版本：請參閱建置時 SBOM 與我們是否受到某個 CVE 影響？。如何修正，請參閱 CVE 修補；尚無修正的漏洞，請參閱零時差漏洞；更廣泛的流程，請參閱漏洞管理。CVE 描述的是漏洞，而不是漏洞利用程式：許多 CVE 從未遭到利用。
CRACI 會將每次建置中記錄的元件與已發布的漏洞比對，並在新的 CVE 出現時重新評估。