CVE: het universele identificatienummer voor digitale zwakke plekken
Stel je voor dat elk lek in elk slot van elk gebouw ter wereld een eigen, uniek zaaknummer zou krijgen, zodat slotenmakers, verzekeraars en bewoners er zonder verwarring over konden praten. Dat is in de kern wat CVE doet, maar dan voor software. CVE staat voor Common Vulnerabilities and Exposures (gedeelde kwetsbaarheden en blootstellingen) en is een systeem dat bekende beveiligingslekken in software en hardware voorziet van een uniek nummer, zoals CVE-2021-44228.
Zonder zo'n systeem zou chaos ontstaan: het ene beveiligingsbedrijf noemt een lek 'de Log4j-bug', een ander 'het JNDI-injectieprobleem', en een derde geeft er een eigen codenaam aan. Met een CVE-nummer weet iedereen, van softwareleverancier tot systeembeheerder tot journalist, dat het over precies hetzelfde probleem gaat. Dat klinkt bureaucratisch, maar het is een van de stille bouwstenen waarop de hele cybersecuritywereld al meer dan 25 jaar vertrouwt.
Wat is het precies?
CVE is geen technische database vol exploitcode of hackmethodes. Het is in essentie een lijst van identificatienummers, elk gekoppeld aan een korte, feitelijke beschrijving van één specifieke kwetsbaarheid. Een CVE-nummer heeft altijd de vorm CVE-jaartal-volgnummer, bijvoorbeeld CVE-2017-0144. Het jaartal verwijst naar het moment waarop het nummer is toegekend, niet per se naar het moment waarop het lek werd ontdekt of misbruikt.
De toekenning van nummers gebeurt niet centraal door één instantie. Er bestaat een netwerk van meer dan driehonderd organisaties, de zogenoemde CNA's (CVE Numbering Authorities), die het recht hebben om zelf CVE-nummers uit te geven voor kwetsbaarheden in hun eigen producten of werkterrein. Denk aan grote softwarebedrijven zoals Microsoft, Google en Red Hat, maar ook aan onderzoeksinstituten en nationale computer-emergency-response-teams (CERT's).
Belangrijk om te begrijpen: een CVE-nummer zegt niets over hoe ernstig een lek is. Daarvoor bestaat een apart systeem, het CVSS (Common Vulnerability Scoring System), dat een score van 0 tot 10 toekent op basis van factoren zoals hoe makkelijk een lek is te misbruiken en hoeveel schade het kan aanrichten. CVE identificeert, CVSS beoordeelt de ernst. Aanvullende technische details, zoals welke systemen precies kwetsbaar zijn en of er al een patch bestaat, worden vaak toegevoegd in de NVD (National Vulnerability Database), een Amerikaanse database die op de CVE-lijst voortbouwt.
Wat wil men ermee bereiken?
Het hoofddoel van CVE is simpel maar cruciaal: eenduidige communicatie mogelijk maken in een wereld waarin duizenden organisaties tegelijk met dezelfde kwetsbaarheden te maken krijgen. Als een beveiligingsonderzoeker een lek ontdekt in een veelgebruikte softwarebibliotheek, moet die informatie snel en zonder verwarring bij softwareleveranciers, systeembeheerders en beveiligingsbedrijven terechtkomen.
Een tweede doel is het mogelijk maken van geautomatiseerde beveiliging. Scanners die netwerken controleren op kwetsbare software, patchmanagementsystemen en beveiligingsadviezen (advisories) verwijzen bijna altijd naar CVE-nummers. Zonder die gestandaardiseerde verwijzing zou het bijvoorbeeld onmogelijk zijn om automatisch te controleren of een bedrijf nog kwetsbaar is voor een bekend, al lang gepubliceerd lek.
Daarnaast speelt CVE een rol in beleid en regelgeving. Overheden, verzekeraars en compliance-kaders (zoals bepaalde ISO-normen) verwijzen naar CVE-nummers om eisen te stellen aan patchtermijnen of om de risicoblootstelling van organisaties te meten. Het systeem is dus niet alleen technisch, maar ook een bouwsteen van digitaal risicobeheer.
Voorbeelden uit de praktijk
Heartbleed (CVE-2014-0160), ontdekt in 2014, was een lek in OpenSSL, de software die een groot deel van het versleutelde internetverkeer beveiligt. Aanvallers konden hiermee stukjes geheugen van servers uitlezen, inclusief wachtwoorden en encryptiesleutels. Het lek kreeg wereldwijde media-aandacht en een eigen logo, wat vrij ongebruikelijk is voor een CVE.
Shellshock (CVE-2014-6271), eveneens uit 2014, betrof een fout in de Bash-shell die op talloze Linux- en Unix-systemen draait. Het lek was zo eenvoudig te misbruiken dat het binnen uren na publicatie actief werd aangevallen.
EternalBlue (CVE-2017-0144) was een kwetsbaarheid in het Windows-netwerkprotocol SMB. Het lek werd in 2017 wereldberoemd doordat het de kern vormde van de WannaCry-ransomware-uitbraak, die onder meer Britse ziekenhuizen platlegde.
Log4Shell (CVE-2021-44228), ontdekt in december 2021, trof de veelgebruikte Java-logbibliotheek Log4j. Omdat deze bibliotheek in ontelbare bedrijfsapplicaties zat verwerkt, gold dit als een van de meest verspreide kritieke kwetsbaarheden ooit geregistreerd.
Meltdown en Spectre (onder meer CVE-2017-5754), publiek gemaakt begin 2018, betroffen fundamentele ontwerpfouten in vrijwel alle moderne processoren, waaronder chips van Intel, AMD en ARM. Deze zaak liet zien dat CVE-nummers niet alleen software, maar ook hardwareontwerpen kunnen betreffen.
Hoe ver is de techniek?
CVE bestaat sinds 1999 en is inmiddels uitgegroeid tot de facto wereldstandaard: bijna elke beveiligingsadvisory, elk patchbericht en elke dreigingsanalyse verwijst ernaar. Het aantal geregistreerde CVE's groeit gestaag; inmiddels zijn er ruim tweehonderdvijftigduizend nummers uitgegeven, met tienduizenden nieuwe per jaar, een aantal dat de afgelopen jaren flink is gestegen door de groei van het aantal CNA's en de toenemende complexiteit van software.
Die groei brengt ook groeipijn met zich mee. De National Vulnerability Database kampte de afgelopen jaren met grote achterstanden in het verrijken van CVE's met technische details en CVSS-scores, wat beveiligingsteams wereldwijd bemoeilijkte bij het inschatten van risico's. Ook is er kritiek op inconsistente kwaliteit van beschrijvingen tussen verschillende CNA's.
Een opvallend moment deed zich voor in april 2025, toen bekend werd dat het Amerikaanse contract tussen CISA (het overheidsagentschap dat CVE financiert) en MITRE (de organisatie die het dagelijks beheer voert) dreigde te verlopen. Dit veroorzaakte grote onrust in de beveiligingswereld, omdat een groot deel van de wereldwijde patchinfrastructuur indirect van CVE afhankelijk is. Het contract werd op het laatste moment met elf maanden verlengd, maar de episode maakte duidelijk hoe kwetsbaar de governance van dit cruciale systeem eigenlijk is. Mede naar aanleiding hiervan werd de onafhankelijke, non-profit CVE Foundation opgericht, die als doel heeft de langetermijncontinuïteit van het programma te waarborgen, los van één enkele overheidsfinancier.
Wie werken eraan?
De MITRE Corporation, een Amerikaanse non-profitorganisatie die ook op andere terreinen voor de Amerikaanse overheid onderzoek doet, beheert het CVE-programma sinds de oprichting. De financiering komt van CISA (Cybersecurity and Infrastructure Security Agency), onderdeel van het Amerikaanse ministerie van Homeland Security.
Naast MITRE spelen de eerder genoemde CNA's een sleutelrol: honderden bedrijven en instellingen wereldwijd, waaronder grote technologiebedrijven, opensourceprojecten en nationale CERT's, die zelf bevoegd zijn CVE-nummers toe te kennen binnen hun domein. Het Amerikaanse NIST (National Institute of Standards and Technology) beheert de aanvullende National Vulnerability Database. De organisatie FIRST (Forum of Incident Response and Security Teams) onderhoudt het gekoppelde CVSS-scoresysteem.
Ook buiten de Verenigde Staten groeit de betrokkenheid: Europese landen en de Europese Unie werken via het agentschap ENISA aan aanvullende kwetsbaarhedendatabases, mede omdat de afhankelijkheid van één Amerikaans gefinancierd systeem als een strategisch risico wordt gezien.