Een CVE (Common Vulnerabilities and Exposures) is een vast nummer voor een openbaar bekend beveiligingslek, zoals CVE-2021-44228 voor het Log4Shell-lek in Java-software. Dankzij dat nummer weten softwaremakers, beveiligers en hostingbedrijven zeker dat ze over hetzelfde lek praten, ook als het in het nieuws een bijnaam krijgt.
Het nummer bestaat uit het jaar en een volgnummer. Sinds 2015 mag dat volgnummer langer zijn dan vier cijfers, omdat vier cijfers, dus hooguit 9.999 lekken per jaar, niet meer genoeg waren. De nummers worden uitgegeven door CVE Numbering Authorities (CNA's): softwaremakers, beveiligingsbedrijven en coördinatoren die het CVE-programma daarvoor heeft erkend. Bij elk nummer hoort een record met een korte beschrijving en verwijzingen naar adviezen en reparaties.
Een CVE-nummer zegt niets over hoe ernstig een lek is. Daarvoor bestaat de CVSS-score, die meestal naast het nummer staat. Ook kleine lekken krijgen een nummer, dus een XSS-lek in een WordPress-plugin kan net zo goed een CVE hebben als een lek in PHP zelf.
Een voorbeeld: in oktober 2026 repareerde het PHP-team twee kritieke lekken, CVE-2026-109618 en CVE-2026-109619. Met die nummers zoek je op of jouw software geraakt is en of je leverancier al een reparatie heeft. Beheer je zelf een server, dan is het nummer extra handig, omdat een gerepareerde PHP-versie vaak hetzelfde versienummer houdt. Je zoekt dan het CVE-nummer in de changelog van het pakket, bijvoorbeeld met rpm -q --changelog alt-php74-common.
Geschiedenis
David Mann en Steven Christey van de Amerikaanse non-profit MITRE beschreven het idee in januari 1999 in de paper Towards a Common Enumeration of Vulnerabilities. Uit hun werkgroep kwamen de eerste 321 records voort, en in september 1999 ging de lijst openbaar (CVE-geschiedenis).
Belangrijke mijlpalen:
- 1999: De CVE-lijst gaat openbaar met 321 records
- 2005: De rol van CVE Numbering Authority (CNA) wordt formeel vastgelegd
- 2015: Nieuwe notatie: het volgnummer mag langer zijn dan vier cijfers (Wikipedia)
- 2021: Log4Shell krijgt CVE-2021-44228 en de maximale CVSS-score van 10,0
- 2025: Het contract van MITRE met de Amerikaanse overheid dreigt in april af te lopen en wordt op het laatste moment met elf maanden verlengd
Bronnen
