Glossar

CVE (Common Vulnerabilities and Exposures)

CVE steht für Common Vulnerabilities and Exposures und ist das weltweit wichtigste Nummernsystem für öffentlich bekannte Sicherheitslücken. Jede gemeldete Schwachstelle erhält einen eindeutigen Bezeichner im Format CVE-JAHR-NUMMER, zum Beispiel CVE-2026-12345. Vergeben werden diese Kennungen von sogenannten CVE Numbering Authorities (CNAs) – dazu zählen die MITRE Corporation als Betreiberin des Programms, große Hersteller wie Microsoft, Siemens oder Red Hat sowie Sicherheitsforschungs-Organisationen. Warum ist das wichtig? Ohne gemeinsame Kennung würde dieselbe Lücke in jedem Advisory, jedem Scanner-Report und jedem Ticket anders heißen. Die CVE-ID ist die gemeinsame Sprache zwischen Herstellern, Scannern, Schwachstellen-Datenbanken und Admins: Wer in einem Patch-Meeting CVE-2026-12345 sagt, meint exakt dieselbe Lücke wie der Vulnerability-Scanner und das Hersteller-Advisory. Wichtig zu wissen: Eine CVE-ID sagt nichts über den Schweregrad aus – dafür gibt es CVSS. Sie sagt auch nichts darüber, ob die Lücke tatsächlich ausgenutzt wird – dafür gibt es den KEV-Katalog und EPSS. Die ID ist nur der eindeutige Name. Zu einer CVE gehören außerdem eine Kurzbeschreibung, die betroffenen Produkte und Versionen sowie Verweise auf Advisories und Patches. Für die Praxis in KMU und IT-Teams gilt: CVE-IDs sind das Rückgrat jedes Schwachstellen-Managements. Inventarisiere deine Systeme, gleiche neue CVEs gegen deinen Tech-Stack ab und priorisiere nach echter Gefährdung (aktive Ausnutzung vor reinem CVSS-Wert). Genau diesen Abgleich automatisiert der SecFeed Risk Radar: Du hinterlegst deine Produkte, und nur die für dich relevanten CVEs erscheinen – deutsch eingeordnet, mit Schweregrad und Maßnahmen-Checkliste. Häufige Missverständnisse: „Reserviert“ (reserved) bedeutet, dass eine ID vergeben, aber noch keine Beschreibung veröffentlicht ist – das passiert bei koordinierter Offenlegung ständig. Nicht jede Lücke bekommt sofort eine CVE: Hersteller-Advisories (etwa von Siemens oder Fortinet) erscheinen teils früher als der zugehörige CVE-Eintrag in der NVD. Und mehrere CVEs können denselben Vorfall betreffen, wenn ein Angriff eine Kette aus mehreren Schwachstellen nutzt. Praktisch heißt das: Verlasse dich nicht allein auf CVE-Feeds, sondern kombiniere sie mit Hersteller-Advisories – genau das tut die SecFeed-Pipeline, die beide Quelltypen zusammenführt und Duplikate über Feeds hinweg bereinigt.

Aktuelle Meldungen dazu: security · ← zum Glossar