CVE forklaret: hvad nummeret siger, og hvad det ikke siger

I pentestrapporter, leverandørbreve og opdateringsnoter dukker numre som CVE efterfulgt af et årstal og et løbenummer op, ofte uden forklaring. Et CVE-nummer er et fælles navn for en offentligt kendt sårbarhed, og værdien ligger i, at alle parter kan henvise til den samme svaghed uden at misforstå hinanden.

Svaret er altså, at CVE er et katalog og ikke en vurdering. Nummeret identificerer en bestemt sårbarhed i et bestemt produkt. Det fortæller ikke, om jeres systemer er berørt, hvor vigtig svagheden er for jer, eller om nogen har udnyttet den. De spørgsmål skal besvares på anden måde.

Et fælles navn for en kendt svaghed

Før der fandtes et fælles katalog, kunne den samme sårbarhed have forskellige navne hos forskellige leverandører og sikkerhedsfirmaer. Det gjorde det svært at vide, om to advarsler handlede om det samme. CVE-programmet beskriver sin opgave som at identificere, definere og katalogisere offentligt kendte sårbarheder.

For en køber betyder det, at et CVE-nummer kan bruges som fælles reference. Hvis rapporten nævner et nummer i forbindelse med webshoppens platform, kan driftsleverandøren slå op, hvilket problem der er tale om, og hostingfirmaet kan svare på, om deres opsætning er omfattet. Alle taler om den samme svaghed.

Numrene tildeles af organisationer, som programmet har godkendt til opgaven. Det kan være softwareproducenter, sikkerhedsorganisationer og andre aktører. Når en sårbarhed er registreret, findes der en offentlig post med en kort beskrivelse og henvisninger.

Sådan er nummeret opbygget

Et CVE-nummer består af bogstaverne CVE, et årstal og et løbenummer, adskilt af bindestreger. Årstallet hænger sammen med registreringen af nummeret. Det siger ikke nødvendigvis, hvornår sårbarheden blev opdaget, eller hvor længe den har eksisteret i produktet.

Løbenummeret har ingen betydning i sig selv. Et højt nummer er ikke mere alvorligt end et lavt. Brug derfor hele nummeret som reference, og læs selve posten for at forstå indholdet.

Hvad en CVE-post fortæller

En post beskriver kort, hvilken sårbarhed der er tale om, og hvilket produkt og hvilke udgaver der er berørt. Den indeholder henvisninger til fx producentens sikkerhedsmeddelelse eller en opdatering. Posten kan også rumme eller blive suppleret med en alvorlighedsscore efter en offentlig skala. → CVSS-score

Den praktiske brug er at finde ud af, om svagheden findes i noget, I bruger, og om der er en rettelse. Det er udgangspunktet for patchstyring, hvor kendte svagheder bliver lukket gennem opdateringer i en fast rytme. → Patchstyring og pentest

Posterne er ikke statiske. Beskrivelser og henvisninger kan blive suppleret, efterhånden som producenten eller andre får mere viden, og et nummer kan i nogle tilfælde blive trukket tilbage. Slå derfor posten op, når I arbejder med fundet, i stedet for at nøjes med teksten i en ældre rapport eller en kopi i et regneark.

Det nummeret ikke fortæller

Et CVE-nummer siger ikke, om jeres udgave af produktet er sårbar. Producenter retter undertiden sårbarheder i ældre udgaver uden at ændre det versionsnummer, en automatisk kontrol ser. Et resultat, der alene bygger på versionsnummeret, kan derfor pege på en svaghed, som ikke findes. → Falsk positiv og falsk negativ

Nummeret siger heller ikke, hvor vigtig svagheden er for jer. En sårbarhed i en komponent, der ikke er i brug, eller som ikke kan nås udefra, har en anden betydning end den samme sårbarhed i kundeportalens login. Den vurdering kræver viden om jeres miljø.

Endelig siger nummeret ikke, om svagheden bliver udnyttet i praksis, eller om der findes værktøjer, der gør det let. Den oplysning kommer fra andre kilder og ændrer sig over tid. Hvad det betyder, at en svaghed kan udnyttes, er forklaret i → Exploit forklaret

CVE i jeres pentestrapport

En rapport kan nævne CVE-numre, når et fund handler om en kendt svaghed i standardsoftware, fx en forældet udgave af en webserver eller et plugin på hjemmesiden. Nummeret gør det let for den, der skal rette, at finde producentens vejledning og den relevante opdatering.

Se efter, om testeren har kontrolleret, at svagheden faktisk er til stede, eller om fundet alene bygger på en versionsoplysning. Rapporten bør sige det. Et bekræftet fund og et sandsynligt fund kræver forskellig behandling, og begge kan være relevante. Hvis svagheden ligger i et produkt fra en anden leverandør, skal ansvaret for rettelsen også placeres. → Fund i tredjepartssoftware

En lang liste af CVE-numre kan se omfattende ud, men den siger ikke i sig selv noget om testens dybde. Mange numre kan stamme fra samme forældede komponent og blive løst med én opdatering. Bed derfor gerne om, at rapporten samler sådanne fund under en overskrift i almindeligt sprog, så ledelsen kan se, at det drejer sig om én opgave og ikke om mange.

Fund uden CVE-nummer

Et fund behøver ikke have et CVE-nummer for at være vigtigt. Det gælder især svagheder i jeres egen løsning, fx en funktion i kundeportalen, der viser oplysninger til den forkerte bruger, eller en rettighedsopsætning i ERP-systemet, der giver for bred adgang. De er specifikke for jeres system og bliver ikke registreret i et offentligt katalog.

Et fund uden nummer er derfor ikke mindre alvorligt. Det betyder blot, at svagheden ikke er en kendt fejl i et offentligt produkt. Vurder den ud fra rapportens beskrivelse og jeres egen viden om systemet.

Det skal I lade være med

At læse et CVE-nummer som en dom · nummeret identificerer en svaghed; det siger ikke, at I er berørt.
At sortere fund efter, om de har et nummer · fejl i egen kode er ofte de mest forretningskritiske.
At stole på versionsnumre alene · bed om at få at vide, om fundet er bekræftet.
At tælle numre som mål for kvalitet · mange numre kan have samme løsning.
At glemme opfølgningen · et nummer i rapporten skal føre til en beslutning om opdatering eller afskærmning.

Hvad kan og ikke kan konkluderes

Et CVE-nummer kan dokumentere, at en bestemt sårbarhed er offentligt kendt og beskrevet. Sammen med en bekræftelse i testen kan det underbygge, at svagheden findes i et af jeres systemer.

Nummeret kan ikke alene afgøre, om I er sårbare, hvor alvorligt det er for jer, eller om svagheden bliver udnyttet. Fravær af CVE-numre i rapporten betyder heller ikke, at løsningen er uden svagheder.

Tjekliste når rapporten nævner CVE-numre

☐ Er det angivet, hvilket system og hvilken udgave der er berørt?
☐ Har testeren bekræftet svagheden, eller bygger fundet på version?
☐ Er der en rettelse eller opdatering fra producenten?
☐ Er det klart, hvem der skal opdatere komponenten?
☐ Er fund uden nummer vurderet med samme alvor?

Kilder

CVE-programmet: programmets formål, CVE-numre og poster om offentligt kendte sårbarheder.
FIRST CVSS v4.0: skalaen for alvorlighed, der ofte bruges sammen med CVE.

Senest gennemgået: oktober 2026.