CNA

CNA (CVE Numbering Authority) to organizacja upoważniona przez Program CVE do regularnego nadawania identyfikatorów CVE i publikowania odpowiadających im rekordów w określonym zakresie odpowiedzialności ^[1]. Zakres (scope) to zdefiniowany zbiór produktów, podatności albo jednych i drugich, za które dana CNA odpowiada ^[1]. Program opisuje CNA jako producentów oprogramowania, badaczy, projekty open source, zespoły CERT, dostawców usług, operatorów programów bug bounty i konsorcja ^[2]. Dla stron na WordPressie najważniejsze są CNA wyspecjalizowane we wtyczkach i motywach: WPScan, Wordfence i Patchstack ^{[6] [7]}.

Jak działa

Program CVE przewiduje jeden rekord CVE dla każdej podatności na liście CVE ^[3]. Cykl życia rekordu ma sześć etapów: odkrycie, zgłoszenie do partnera programu, nadanie identyfikatora, rezerwację, przekazanie szczegółów i publikację ^[3]. Partnerem, który nadaje numer i publikuje rekord, jest właśnie CNA ^[3]. Schemat poniżej pokazuje ten przebieg.

RYS. 1Od zgłoszenia do rekordu CVE

Identyfikator ma postać CVE-rok-numer. Rok oznacza rok rezerwacji identyfikatora albo upublicznienia podatności, a nie rok jej odkrycia; część liczbowa ma co najmniej cztery cyfry ^[3]. Stan Reserved oznacza, że identyfikator służy już do koordynacji, ale CNA nie jest jeszcze gotowa ujawnić podatności ^[3]. Opublikowany rekord zawiera co najmniej krótki opis, dotknięte produkty i wersje oraz odnośniki, na przykład do biuletynów ^[3].

Taki przebieg jest częścią szerszego procesu, jakim jest skoordynowane ujawnianie podatności (coordinated vulnerability disclosure). CERT Polska zwraca uwagę, że to proces złożony i długi: zdarza się, że od zgłoszenia do publikacji informacji mija kilka miesięcy ^[5].

Role w programie CVE

CNA nie działają obok siebie bez nadzoru. Program ma strukturę hierarchiczną, którą opisuje słownik pojęć CVE ^[1].

Program podkreśla, że wymagania wobec kandydatów są minimalne, a udział nie wiąże się z opłatą ani umową handlową ^[2]. Dlatego CNA są bardzo różne: od globalnych producentów oprogramowania po małe zespoły badawcze.

W WordPressie

Ekosystem WordPressa ma kilka własnych CNA, bo większość błędów dotyczy nie rdzenia, lecz wtyczek i motywów. Patchstack w raporcie za pierwsze półrocze 2025 roku policzył 3044 podatności we wtyczkach, 386 w motywach i jedną w rdzeniu ^[7].

• WPScan uzyskał status CNA w styczniu 2021 roku jako pierwsza firma skupiona na WordPressie ^[6].
• Wordfence otrzymał status CNA w czerwcu 2021 roku; może nadawać numery CVE podatnościom w rdzeniu, wtyczkach i motywach bez pośrednictwa innej organizacji ^[6].
• Patchstack według własnego raportu zgłosił 4462 podatności w pierwszej połowie 2025 roku, co stanowiło 66,60% wszystkich nazwanych podatności w tym okresie ^[7]. Ta sama publikacja podaje, że wśród wszystkich CNA Patchstack stał się największym ujawniającym podatności w historii, wyprzedzając Wordfence, WPScan, a także Microsoft i GitHub ^[7].

Wordfence uzasadniał wniosek rosnącą liczbą badaczy i zgłoszeń; kilka CNA dla tego samego ekosystemu skraca czas oczekiwania na numer ^[6]. Dla właściciela strony wynika z tego praktyczna wskazówka: ta sama podatność wtyczki bywa opisana w bazach kilku dostawców, ale identyfikator CVE nadaje tylko jedna CNA, a numer łączy te opisy.

Numer CVE jest punktem odniesienia dla oceny CVSS, katalogu KEV, skanerów i wtyczek bezpieczeństwa, które porównują wersje zainstalowanych komponentów z bazą podatności. Bez identyfikatora trudniej ustalić, czy dwa komunikaty mówią o tym samym błędzie.

CNA w Polsce

CERT Polska uzyskał status CNA na początku sierpnia 2023 roku jako jedyna instytucja w kraju i jeden z siedmiu zespołów CERT w Europie z takim uprawnieniem ^[4]. Każda osoba, która znajdzie podatność, może zgłosić ją do organizacji będącej CNA ^[4]. Zespół ocenia zgłoszenia, nadaje identyfikatory i dba o jakość wpisów w bazie ^[4]. Ogólnodostępna baza CVE zasila także amerykańską National Vulnerability Database ^[4].

W pierwszym roku CERT Polska nadał 73 identyfikatory CVE, także podatnościom znalezionym we własnych badaniach ^[5]. W podsumowaniu roku zespół wskazał też, że według ówczesnego projektu ustawy wdrażającej dyrektywę NIS2 to on miał zostać krajowym koordynatorem ujawniania podatności, pośredniczącym między zgłaszającymi a producentami ^[5]. CERT Polska jest częścią struktury opisanej w haśle CERT Polska / CSIRT NASK.

Znaczenie

Dla badacza CNA jest adresem, pod który trafia zgłoszenie i skąd wraca numer. Dla producenta wtyczki jest pośrednikiem, który przed publikacją daje czas na łatkę (patch). Dla administratora strony rekord CVE opublikowany przez CNA jest sygnałem do działania w ramach zarządzania podatnościami: sprawdzenia wersji, aktualizacji albo wyłączenia komponentu.

Warto pamiętać o dwóch ograniczeniach. Po pierwsze, numer CVE nie oznacza, że podatność jest wykorzystywana; o tym mówią inne źródła, takie jak KEV. Po drugie, brak numeru nie oznacza braku podatności, bo nie każdy błąd trafia do CNA. Szczegóły przekazywane do rekordu obejmują między innymi typ podatności, jej przyczynę albo skutek ^[3]; do nazywania typów błędów służy słownik CWE.