CVE ist die Nummer, unter der eine bekannte Sicherheitslücke weltweit geführt wird. Die Abkürzung steht für Common Vulnerabilities and Exposures; das Verzeichnis gibt es seit 1999, und es sorgt dafür, dass alle Beteiligten über denselben Fehler reden.
- CVE
Die Nummer, unter der eine bekannte Sicherheitslücke weltweit geführt wird.
Beispiel: „Die CVE-Nummer stand in der Meldung des Herstellers und im Bericht der Prüfer.“Auch: Der Aufbau ist immer gleich, etwa CVE-2026-12345, also Kürzel, Jahr der Vergabe und laufende Nummer. Vergeben wird sie von benannten Stellen, meist den Herstellern selbst.
Abgrenzung zum CVSS: Die CVE-Nummer benennt die Lücke, der CVSS-Wert bewertet sie.
Wie eine CVE-Nummer entsteht
Über eine benannte Stelle. Hersteller, Forschungseinrichtungen und Behörden können sich als vergebende Stelle registrieren und bekommen dann Nummernblöcke, die sie selbst zuteilen. Wer eine Lücke meldet, bekommt die Nummer deshalb meist vom Hersteller, und sie wird oft schon vor der Veröffentlichung reserviert.
Danach wandert der Eintrag in öffentliche Datenbanken und wird dort angereichert, etwa um die betroffenen Fassungen und eine Bewertung. Diese Anreicherung hängt seit einiger Zeit hinterher, weshalb ein frischer Eintrag oft nur aus einer kurzen Beschreibung besteht.
Was eine CVE-Nummer nicht aussagt
Ob es dringend ist. Die Nummer bedeutet nur, dass jemand den Fehler aufgeschrieben hat; sie sagt nichts darüber, ob das betroffene Bauteil im eigenen Haus läuft, ob die Lücke aus dem Netz erreichbar ist und ob Angriffscode kursiert, siehe Exploit. Umgekehrt gilt: Nicht jede Lücke bekommt eine Nummer, etwa in Software, deren Hersteller verschwunden ist.
Wie man mit CVE-Nummern arbeitet
Als Suchschlüssel und als Brücke zwischen Werkzeugen. Die Nummer steht in der Meldung des Herstellers, im Bericht eines Penetrationstests, in der Ausgabe der Paketverwaltung und in den Listen der Behörden. Wer sie notiert, kann den Stand einer Aufgabe später nachvollziehen, siehe Patch-Management. Für die eigene Software lohnt ein Abgleich der Abhängigkeiten gegen diese Nummern bei jedem Bauvorgang.