EUVD

EUVD (European Vulnerability Database) to europejska baza danych o podatnościach, którą ENISA opracowała zgodnie z dyrektywą NIS2 ^[1]. Dyrektywa w art. 12 ust. 2 powierza ENISA opracowanie i prowadzenie takiej bazy ^[4]. Według ENISA baza gromadzi, przechowuje, wzbogaca i publikuje znane podatności do użytku publicznego ^[2]. Działa od 13 maja 2025 roku ^[1], a każdy wpis ma własny identyfikator EUVD i wskazuje odpowiadający mu numer CVE ^[6].

Jak działa

Celem EUVD jest powiązanie publicznie dostępnych informacji z wielu źródeł, takich jak zespoły CSIRT, producenci i istniejące bazy ^[1]. ENISA wymienia wśród źródeł otwarte bazy danych, komunikaty krajowych CSIRT-ów, poprawki i zalecenia producentów, dane programu CVE prowadzonego przez MITRE oraz katalog KEV amerykańskiej agencji CISA ^[1]. Baza ma podawać rzetelne i praktyczne informacje, na przykład środki zaradcze i stan wykorzystywania luki ^[1]. Pod spodem działa otwarte oprogramowanie Vulnerability-Lookup ^[1], rozwijane przez CIRCL jako platforma do śledzenia podatności z interfejsem API ^[5]. Vulnerability-Lookup pozwala tworzyć listy obserwowanych produktów z powiadomieniami e-mail, zbiera obserwacje użytkowników oznaczające lukę jako widzianą, wykorzystywaną albo załataną, wspiera obsługę procesu CVD i integruje ocenę EPSS ^[5]. Projekt jest współfinansowany przez CIRCL i Unię Europejską ^[5]. ENISA dodaje, że baza łączy dane od CSIRT-ów UE, producentów ICT, z katalogu KEV i od dostawców analiz zagrożeń ^[2].

Obieg informacji pokazuje schemat poniżej.

RYS. 1Jak wpis trafia do EUVD

Interfejs WWW oferuje trzy widoki: podatności krytyczne, wykorzystywane i koordynowane w UE ^[1]. Te ostatnie to luki obsługiwane przez członków sieci CSIRT UE ^[1].

Składniki wpisu

Wpis EUVD jest dostępny także przez publiczne API. Rekord EUVD-2026-84555 pokazuje typowe pola ^[6].

Numer EUVD nie jest tłumaczeniem numeru CVE. Rekord EUVD-2026-84555 ma alias CVE-2026-87902 ^[6], a zupełnie inna podatność, we wtyczce do WordPressa, nosi identyfikator EUVD-2026-87902 ^[8]. Przy odwołaniach trzeba więc podawać pełny identyfikator z prefiksem.

W WordPressie

EUVD obejmuje zarówno rdzeń WordPressa, jak i wtyczki. Rekord EUVD-2026-84555 dotyczy rdzenia: nieuwierzytelniony atakujący może sprawić, że funkcja get_page_template() dołączy wybrany lokalny plik .php spoza katalogów motywu, co przy spełnieniu warunków po stronie serwera i motywu prowadzi do zdalnego wykonania kodu (RCE) ^[6]. EUVD podaje wersje poniżej 7.1.2 jako podatne ^[6]. Komunikat zespołu WordPressa wymienia wersje od 4.7.0 do 7.1.1 i poprawki od 4.7.37 do 7.1.2 w poszczególnych gałęziach ^[7]. Opisuje też warunki, od których zależy skutek: aktywny motyw musi mieć w katalogu głównym podkatalog o nazwie zaczynającej się od page-, co dotyczy między innymi motywów Twenty Twelve i Twenty Fourteen, a na serwerze musi być dostępny odpowiedni plik PHP, na przykład z pakietu PEAR przy włączonej opcji register_argc_argv ^[7]. Komunikat wskazuje, że takie warunki spełniają domyślne obrazy PHP dla Dockera i starsze konfiguracje cPanel ^[7]. Ten sam komunikat ocenia lukę jako krytyczną z wynikiem 9.2 ^[7], a EUVD pokazuje ocenę 8.1 w CVSS 3.1 ^[6]; źródła mogą więc różnić się oceną tej samej luki.

Wpis EUVD-2026-87902 opisuje podatność we wtyczce NextScripts: Social Networks Auto-Poster przed wersją 4.4.8: kilka akcji AJAX nie sprawdza uprawnień i opiera się tylko na nonce ^[8], czyli jest to brak kontroli uprawnień (missing authorization). Numer CVE nadał WPScan ^[8]. Świeży wpis może mieć ocenę 0.0, dopóki nikt jej nie wyliczył ^[8], dlatego brak oceny nie oznacza braku ryzyka.

Dla administratora EUVD jest jednym ze źródeł w procesie, jakim jest zarządzanie podatnościami. Pole exploitedSince pomaga ustalić, które aktualizacje rdzenia i wtyczek wdrożyć najpierw.

Znaczenie

Sekurak łączy powstanie bazy z kłopotami programu CVE: niepewnością finansowania i opóźnieniami w publikowaniu informacji, a w kwietniu 2025 roku z krótkotrwałym ryzykiem nieprzedłużenia umowy MITRE ^[3]. Projekt ma dać Europie większą niezależność w zarządzaniu podatnościami, przy zapowiadanej współpracy ENISA z MITRE dla spójności danych ^[3].

ENISA od stycznia 2024 roku ma status CVE Numbering Authority, może więc nadawać identyfikatory CVE i publikować rekordy ^[2]. Jest też CVE Root, czyli centralnym punktem kontaktu w programie CVE dla krajowych organów europejskich i członków sieci CSIRT UE ^[2]. Wspiera również CSIRT-y pełniące rolę koordynatorów, gdy zgłoszona podatność może mieć znaczący wpływ w kilku państwach ^[2], co łączy EUVD z procedurą, jaką jest skoordynowane ujawnianie podatności (CVD).

Rola bazy rośnie wraz z aktem o cyberodporności (Cyber Resilience Act). ENISA zapowiedziała, że zgłaszanie aktywnie wykorzystywanych podatności stanie się dla producentów obowiązkowe do września 2026 roku ^[1].

Jak korzystać

• Przeglądanie. Widoki krytycznych i wykorzystywanych podatności pozwalają szybko zobaczyć, co wymaga reakcji ^[1].
• Wyszukiwanie po aliasie. Numer CVE z komunikatu producenta prowadzi do wpisu EUVD przez pole aliasów ^[6].
• Automatyzacja. Rekordy są dostępne przez API w formacie JSON ^[6], co pozwala włączyć je do własnego monitoringu obok innych baz, takich jak NVD czy OSV.
• Weryfikacja u źródła. Wpis EUVD odsyła do komunikatu producenta w polu referencji ^[6]; wersje z poprawką warto potwierdzić właśnie tam ^[7].