CVE steht für Common Vulnerabilities and Exposures. Das CVE-Programm vergibt eindeutige Kennungen für öffentlich bekannte Schwachstellen und veröffentlicht dazu einen standardisierten Datensatz. Eine Kennung wie `CVE-2026-12345` hilft verschiedenen Herstellern, Datenbanken und Sicherheitssystemen, über dieselbe Schwachstelle zu sprechen.
Das CVE-Programm identifiziert, definiert und katalogisiert öffentlich bekannt gemachte Schwachstellen. Es entscheidet damit noch nicht, wie dringend eine konkrete Organisation handeln muss.
Was ein CVE-Eintrag enthält
Ein CVE Record wird von einer zuständigen CVE Numbering Authority, kurz CNA, erstellt. Er enthält die Kennung, eine Beschreibung, Referenzen und weitere Metadaten. Der Status `RESERVED` bedeutet, dass eine Nummer zugeteilt wurde, der vollständige öffentliche Datensatz aber noch fehlt.
Eine CVE-Kennung ist weder ein Exploit noch ein Patch. Sie beweist auch nicht, dass jedes Produkt mit einem ähnlichen Namen betroffen ist.
CVE, NVD und CVSS erfüllen andere Aufgaben
Die US-amerikanische National Vulnerability Database übernimmt CVE-Datensätze und ergänzt sie unter anderem um CVSS-Bewertungen, Produkterkennung und Schwachstellenklassen.
CVSS beschreibt die technische Schwere einer Schwachstelle anhand festgelegter Merkmale. Die CVSS-v4.0-Spezifikation unterscheidet Basis-, Bedrohungs-, Umgebungs- und ergänzende Metriken. Ein hoher Basisscore ist wichtig, ersetzt aber keine lokale Priorisierung.
Betroffenheit muss lokal geprüft werden
Für eine konkrete Umgebung sind weitere Fragen entscheidend:
- Ist die betroffene Komponente überhaupt vorhanden?
- Welche Version und welcher Build laufen tatsächlich?
- Ist die verwundbare Funktion aktiviert und erreichbar?
- Existieren Schutzmassnahmen oder eine wirksame Korrektur?
- Wie zuverlässig und aktuell ist das Inventar?
- Welche Folgen hätte eine Ausnutzung für diesen Betrieb?
Fehlen diese Angaben, lautet der Zustand nicht automatisch «nicht betroffen». Er bleibt unbekannt, bis die notwendige Evidenz vorliegt.
Ausnutzung verändert die Priorität
Der Known Exploited Vulnerabilities Catalog von CISA führt Schwachstellen, für die eine Ausnutzung in freier Wildbahn bekannt ist. Herstellerhinweise erklären zusätzlich betroffene Versionen, Korrekturen und mögliche Gegenmassnahmen.
Eine lokal vorhandene, von aussen erreichbare und nachweislich ausgenutzte Schwachstelle verlangt eine andere Reaktion als ein hoher Score für eine nicht installierte Komponente. Priorität entsteht aus Schwere, Exposition, tatsächlicher Ausnutzung, möglichem Schaden und Qualität der Evidenz.
CVE im Sicherheitsbetrieb
Paladin verbindet allgemeine Schwachstelleninformationen mit dem beobachteten Bestand. Aus einer CVE wird dadurch entweder ein begründeter lokaler Befund, eine dokumentierte Nichtbetroffenheit oder eine sichtbare Inventarlücke.
Die Kennung bleibt dabei Referenzpunkt. Die operative Aussage entsteht erst aus Softwareidentität, Version, Zeitbezug und überprüfbarer Quelle.
Merksatz
Eine CVE benennt eine veröffentlichte Schwachstelle. Ob sie im eigenen Betrieb zählt und wie dringend sie ist, entscheidet der lokale Kontext.