CVE

CVE (Common Vulnerabilities and Exposures) to publiczny identyfikator konkretnej, ujawnionej podatności, zapisywany w postaci CVE-rok-numer. Dzięki niemu producent, badacz, skaner i biuletyn mówią o tej samej luce, nawet jeśli opisują ją innymi słowami. CERT Polska określa CVE jako międzynarodowy program wspierający ujawnianie luk bezpieczeństwa w oprogramowaniu komputerowym ^[1]. Ten sam skrót oznacza więc zarówno program, jak i nadawany w nim numer; w tekstach technicznych chodzi zwykle o numer.

Jak działa

Numer CVE nadaje CNA (CVE Numbering Authority), czyli organizacja upoważniona przez program. Według CERT Polska takie organizacje oceniają zgłoszenia podatności, przydzielają numery CVE i dbają o jakość bazy ^[1]. Numer najpierw się rezerwuje, a rekord publikuje później. Format rekordu CVE zawiera pole daty rezerwacji z zastrzeżeniem, że data ta nie musi oznaczać chwili odkrycia, zgłoszenia producentowi ani publicznego ujawnienia ^[2].

Po zakończeniu obsługi podatności CNA publikuje rekord. Schemat danych przewiduje dla opublikowanego rekordu stan PUBLISHED, a dla wycofanego REJECTED ^[2]. Rekord opisuje produkty i wersje, których luka dotyczy, typ problemu oraz opcjonalnie metryki oceny ^[2]. Typ problemu wskazuje się zwykle numerem CWE, a powagę oceną CVSS.

Drogę od zgłoszenia do publicznego rekordu pokazuje schemat poniżej.

RYS. 1Od zgłoszenia do rekordu CVE

Wszystkie rekordy są dostępne publicznie w formacie JSON. Repozytorium cvelistV5 zawiera katalog wszystkich rekordów CVE zidentyfikowanych przez program lub do niego zgłoszonych i jest odświeżane mniej więcej co 7 minut ^[3]. Rekord może mieć kilka kontenerów: kontener CNA z danymi od organizacji nadającej numer, kontener programu CVE oraz kontenery dodatkowych dostawców danych ^[3].

Budowa identyfikatora

Identyfikator ma trzy części. Schemat programu CVE zapisuje je wyrażeniem regularnym, które wymaga przedrostka CVE, czterocyfrowego roku i numeru od 4 do 19 cyfr ^[2].

Rok w numerze nie mówi więc, kiedy luka powstała. Błąd obecny w kodzie od wielu lat dostaje numer z rokiem, w którym go odkryto albo opublikowano.

Co dostaje numer

Nie każda luka dostaje CVE. Polityka CERT Polska przewiduje nadawanie numerów tylko dla podatności dotyczących wielu systemów lub organizacji; błędna konfiguracja zabezpieczeń (security misconfiguration) numeru nie otrzymuje ^[4]. CVE opisuje więc błąd w produkcie, a nie w konkretnym wdrożeniu. Wyłączony nagłówek bezpieczeństwa na jednej stronie nie jest CVE; błąd we wtyczce instalowanej na tysiącach stron może nim być.

CERT Polska jest CNA od początku sierpnia 2023 roku i według swojej zapowiedzi był wtedy jedyną taką instytucją w kraju oraz jednym z 7 CERT-ów w Europie z tym uprawnieniem ^[1]. Zgodnie z polityką skoordynowanego ujawniania podatności (coordinated vulnerability disclosure) publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi; termin może być krótszy, jeśli poprawka ukaże się wcześniej albo producent nie współpracuje ^[4]. Polityka przewiduje też wsparcie dla polskich producentów, którzy sami nie są CNA: CERT Polska może pomóc im w procesie uzyskania numeru ^[4]. Informacje o podatności publikuje po zakończeniu jej obsługi w sposób, który nie pozwala zidentyfikować zgłaszającego; dane zgłaszającego podaje tylko za jego wyraźną zgodą ^[4]. Numer CVE jest więc przypisany do luki, a nie do osoby, która ją znalazła. Na liście publikacji CERT Polska jest na przykład wpis z 14 września 2026 roku o dwóch podatnościach typu SQL injection, CVE-2026-7848 i CVE-2026-15600, w module płatności ratalnych dla PrestaShop ^[5].

W WordPressie

Numery CVE dla wtyczek, motywów i rdzenia WordPressa nadają między innymi wyspecjalizowane CNA. Patchstack otrzymał ten status w czerwcu 2021 roku i może przydzielać numery dla podatności w rdzeniu WordPressa, wtyczkach, motywach i innych komponentach PHP zgłoszonych przez swoją społeczność badaczy ^[6].

Rdzeń również dostaje numery. Komunikat o wydaniu WordPressa 7.1.2 z 22 września 2026 roku podaje identyfikatory CVE-2026-87902 oraz GHSA-7hp8-65ch-5whp i dziękuje za odpowiedzialne zgłoszenie badaczowi Robertowi Resslowi ^[7]. Obok numeru CVE komunikat podaje drugi identyfikator, GHSA; oba wskazują tę samą lukę.

Dla administratora numer CVE jest kluczem wyszukiwania. Każda podatność we wtyczce opisana w rekordzie ma wskazane wersje, których dotyczy ^[2]. Skaner porównuje wersje zainstalowanych wtyczek z bazą rekordów i zgłasza te, które mają znane podatności; na tym opiera się skanowanie podatności.

Znaczenie

CVE nie ocenia ryzyka, tylko je nazywa. Sam numer nie mówi, czy luka jest groźna ani czy ktoś ją wykorzystuje. Do tego służą osobne źródła: ocena CVSS, prawdopodobieństwo wykorzystania EPSS i katalog podatności wykorzystanych w praktyce KEV. Informację o tym, czy istnieje exploit albo publiczny PoC (proof of concept), trzeba ustalić osobno.

OWASP zaleca, aby w ramach zarządzania zależnościami stale monitorować źródła takie jak CVE, National Vulnerability Database i Open Source Vulnerabilities pod kątem używanych komponentów ^[8]. Dla strony na WordPressie oznacza to śledzenie numerów CVE dla każdej zainstalowanej wtyczki i motywu, nie tylko dla rdzenia, jako część zarządzania podatnościami.