Forklaret · 2 min
Hvad er en CVE?
Det fælles ID-nummer, som alle kendte sikkerhedshuller får, og hvad tallet ved siden af betyder.
Skrevet af AI og tjekket mod vores redaktionelle kriterier. Ikke gennemgået af en redaktør.
En CVE er et offentligt ID-nummer for et kendt sikkerhedshul i software. Bogstaverne står for Common Vulnerabilities and Exposures. Programmet startede i 1999, og formålet er at finde, beskrive og registrere offentligt kendte sårbarheder.
Hvert ID har samme form: CVE, året og et nummer. Brotli-fejlen i denne uges nyheder hedder CVE-2026-111497. Organisationer kaldet CNA’er, fx store softwarefirmaer og sikkerhedsfirmaer, deler numrene ud. Den amerikanske nonprofit-organisation MITRE driver programmet med støtte fra den amerikanske cybermyndighed CISA.
Tænk på det sådan her: en CVE er som et journalnummer på et hospital. To læger kan beskrive en patient med forskellige ord, men journalnummeret sikrer, at de taler om den samme person.
En CVE siger, hvad der er i stykker, ikke hvor slemt det er. Det er opgaven for CVSS, et separat pointsystem, som sikkerhedsorganisationen FIRST står bag. Det giver en score fra 0 til 10. Fra 7,0 er det High, og fra 9,0 er det Critical.
Scoren har en grænse, og det siger FIRST selv. Den måler, hvor alvorligt et hul er generelt, ikke risikoen for netop dig. Et kritisk hul i en funktion, du aldrig bruger, betyder mindre end et middelalvorligt hul i din login-side.
Hvad betyder det for dig: når en sikkerhedsmeddelelse nævner en CVE, kan du søge på ID’et og straks se, om dine værktøjer er ramt. Brug så scoren og din viden om, hvad du selv kører, til at vælge, hvad der skal opdateres først.
Læs mere: CVE-programmet: forside og formål (cve.mitre.org) · FIRST: CVSS v4.0 User Guide