CVE (Common Vulnerabilities and Exposures) je celosvetovo používaný systém identifikácie verejne známych zraniteľností softvéru a hardvéru. Každá zaregistrovaná zraniteľnosť dostane jedinečné označenie v tvare CVE-rok-poradové číslo, napríklad CVE-2021-44228 pre známu zraniteľnosť Log4Shell v knižnici Log4j.

Vďaka jednotnému označeniu hovoria výrobcovia, bezpečnostné nástroje, správcovia aj audítori o tej istej chybe rovnakým jazykom. CVE samotné nehodnotí závažnosť – to je úloha systému CVSS.

Kto CVE spravuje a ako záznam vzniká

Program CVE prevádzkuje nezisková organizácia MITRE s podporou americkej agentúry CISA. Identifikátory prideľujú takzvané CNA (CVE Numbering Authorities) – výrobcovia softvéru, bezpečnostné firmy či národné tímy, ktoré sú na to oprávnené. Postup je zjednodušene takýto:

  1. niekto objaví zraniteľnosť a nahlási ju výrobcovi alebo CNA,
  2. CNA rezervuje identifikátor CVE,
  3. po zverejnení sa doplní popis, dotknuté verzie a odkazy na opravy,
  4. ďalšie databázy, napríklad americká NVD, záznam obohacujú o hodnotenie CVSS a technické detaily.

Prečo je CVE dôležité pre firmy

CVE je spoločný kľúč, ktorý prepája celý proces riadenia bezpečnosti. Skener zraniteľností nájde na serveri konkrétne CVE, bezpečnostné bulletiny výrobcu uvádzajú, ktoré CVE záplata rieši, a reporty pre vedenie či audítora môžu sledovať, ktoré zraniteľnosti boli odstránené. Bez jednotného označenia by sa zistenia z rôznych zdrojov ťažko porovnávali.

Dôležité je aj pre výrobcov softvéru: nariadenie Cyber Resilience Act zavádza povinnosť hlásiť aktívne zneužívané zraniteľnosti produktov s digitálnymi prvkami, a to od 11. septembra 2026. Viac o tom nájdete v článku Cyber Resilience Act mení spôsob, akým sa vyvíja softvér.

Na čo si dať pozor

  • Nie každá chyba má CVE – chybné nastavenia, slabé heslá či interné aplikácie v katalógu nenájdete.
  • Počet CVE neznamená mieru rizika – desiatky nálezov s nízkou závažnosťou môžu byť menej dôležité ako jedna zneužívaná zraniteľnosť na serveri dostupnom z internetu.
  • Záznamy sa menia – popis aj hodnotenie sa môžu po zverejnení aktualizovať.

Časté otázky

Je CVE to isté ako CVSS?

Nie. CVE zraniteľnosť pomenúva, CVSS hodnotí jej závažnosť na stupnici od 0 do 10.

Kde zistím, či sa CVE týka môjho systému?

V bezpečnostných bulletinoch výrobcu a vo výsledkoch skenovania zraniteľností, ktoré porovnávajú nainštalované verzie s databázou.

Ak ste objavili zraniteľnosť v produkte PosAm, použite formulár na nahlásenie bezpečnostnej zraniteľnosti. Pri sledovaní CVE vo vlastnej infraštruktúre vám pomôže systematický vulnerability management, ktorý PosAm opisuje na blogu.