Què és un CVE? Significat, CVSS i com llegir un número CVE

Cada dia es publiquen desenes de vulnerabilitats noves. Sense un nom comú, cada fabricant, escàner i investigador anomenaria de manera diferent la mateixa fallada, i ningú sabria si «la fallada de Citrix» que esmenta el teu proveïdor és la de l'avís del CERT. Per a això existeix CVE. En aquest article veuràs com funciona el sistema, com llegir un número CVE i la seva puntuació, i com decidir quins CVE pedaces aquesta setmana i quins poden esperar.

Què és exactament un CVE?

CVE són les sigles de Common Vulnerabilities and Exposures: un registre mundial de vulnerabilitats conegudes públicament, cadascuna amb un identificador únic i una descripció breu. El programa existeix des del 1999 i el gestiona MITRE. Un registre CVE diu quina vulnerabilitat és i en quin producte; no conté puntuació, exploit ni instruccions de correcció. Aquesta informació ve d'altres fonts que remeten al mateix identificador: l'avís del fabricant, la National Vulnerability Database (NVD) del NIST amb la puntuació CVSS, la base de dades europea EUVD d'ENISA i els avisos dels CERT.

Com es llegeix un número CVE?

Un identificador CVE té sempre la mateixa estructura: CVE-AAAA-NNNNN.

• AAAA és l'any en què es va assignar o publicar l'identificador. No és necessàriament l'any en què es va descobrir la vulnerabilitat ni en què es va escriure el programari.
• NNNNN és un número de seqüència de com a mínim quatre xifres; des del 2014 poden ser cinc o més. El número de seqüència no diu res sobre la gravetat.

Exemple: CVE-2026-35273 és una vulnerabilitat a Oracle PeopleSoft publicada el 2026 i explotada com a zero-day. Què suposava i què calia fer ho descrivim a Oracle PeopleSoft sota atac actiu. El número per si sol només et diu: aquesta és la vulnerabilitat de què parla tothom.

CVE, CVSS i «explotada activament»: tres coses diferents

La major part de la confusió ve de barrejar tres conceptes. Cadascun respon a una pregunta diferent:

CVSS: la gravetat

El Common Vulnerability Scoring System dona una puntuació de 0 a 10 segons, entre altres factors, el vector d'atac (per internet o només en local), la complexitat, els privilegis necessaris i la interacció de l'usuari, i l'impacte en confidencialitat, integritat i disponibilitat. Les franges: baixa de 0,1 a 3,9, mitjana de 4,0 a 6,9, alta de 7,0 a 8,9 i crítica de 9,0 a 10,0. Un 9,8 sol voler dir: explotable en remot, sense autenticació, amb presa de control total com a resultat. CVSS, però, no diu res sobre la probabilitat que algú ho provi amb tu.

Explotada activament: la urgència

Dels milers de CVE que es publiquen cada any, només una petita part s'explota de debò. Aquest grup marca la teva prioritat. Tres fonts hi ajuden: el catàleg Known Exploited Vulnerabilities de CISA recull vulnerabilitats amb explotació confirmada; EPSS (Exploit Prediction Scoring System), de FIRST, estima per CVE la probabilitat d'explotació en els propers trenta dies; i els avisos dels CERT (CCN-CERT, INCIBE-CERT i l'Agència de Ciberseguretat de Catalunya) valoren probabilitat i impacte per vulnerabilitat. Un CVE de gravetat mitjana explotat activament en un sistema exposat a internet va abans que un CVE crític sense explotació coneguda en un sistema intern.

Qui assigna els números CVE?

No MITRE directament, sinó una xarxa de CVE Numbering Authorities (CNA): fabricants de programari, organitzacions de recerca, plataformes de bug bounty i CERT nacionals autoritzats a emetre identificadors per als seus propis productes o àmbit. Per sobre hi ha les «arrels», que admeten i acompanyen les CNA. Durant molt de temps aquesta estructura va ser gairebé exclusivament nord-americana i finançada pel Govern dels EUA. Des del novembre de 2025 ENISA és CVE Root per a les organitzacions europees; l'agost de 2026 hi havia vint CNA sota aquest paraigua europeu.^[1] Europa té així la seva pròpia porta d'entrada al sistema i, amb l'EUVD, la seva pròpia base de dades.

On consultes un CVE?

• cve.org: el registre oficial del programa CVE, amb la descripció, els productes afectats i les referències.
• NVD (nvd.nist.gov): la base de dades nord-americana que enriqueix els CVE amb puntuacions CVSS, tipus de debilitat (CWE) i identificadors de producte (CPE).
• EUVD (euvd.enisa.europa.eu): la base de dades europea de vulnerabilitats d'ENISA, operativa des del maig de 2025, amb l'estat d'explotació i els pedaços disponibles per vulnerabilitat, incloses les notificacions rebudes sota el Cyber Resilience Act.^[2]
• Avisos del CERT: una valoració local de probabilitat i impacte i què fer.
• L'avís del fabricant: l'única font amb les versions afectades exactes i el pedaç.
• CISA KEV: si la vulnerabilitat s'està explotant de manera demostrable.

Els escàners de vulnerabilitats, les plataformes EDR i les eines de pedaçat fan servir els mateixos identificadors, de manera que una troballa del teu escàner enllaça directament amb l'avís del CERT i el pedaç del fabricant.

Quins CVE pedaces primer?

Ningú pot pedaçar tots els CVE de seguida, i ningú ho ha de fer. Un ordre pràctic:

1. Explotat activament i accessible des d'internet: ara, fora de la finestra de pedaçat si cal.
2. Explotat activament, només intern: aquesta setmana, amb mesures compensatòries mentrestant.
3. CVSS crític o alt, sense explotació coneguda: dins de la finestra de pedaçat habitual, primer els sistemes exposats.
4. Mitjà i baix: agrupats, segons l'impacte en el negoci.
5. No pedaçable (fi de vida, legacy, OT): aïllar, monitorar i documentar el risc residual.

Aquesta valoració és exactament el que fa de manera contínua la gestió contínua de vulnerabilitats de DEFION: escanejar, prioritzar per CVSS, EPSS i explotació activa, corregir i validar. I per a les vulnerabilitats que encara no tenen número CVE perquè són a la teva pròpia aplicació no hi ha base de dades; aquestes només les trobes amb un pentest.

Els CVE i la llei

Dues normes europees converteixen la gestió de vulnerabilitats en una obligació. NIS2 i les seves transposicions nacionals inclouen «la gestió i divulgació de vulnerabilitats» entre les mesures del deure de diligència de les entitats essencials i importants. I el Cyber Resilience Act obliga els fabricants de productes amb elements digitals, des de l'11 de setembre de 2026, a notificar en 24 hores les vulnerabilitats explotades activament als seus productes a través de la plataforma de notificació d'ENISA. Si fabriques programari o dispositius, necessites un procés de notificació a més d'un procés de pedaçat.

Preguntes freqüents

Què és un CVE?

Un CVE (Common Vulnerabilities and Exposures) és un identificador únic per a una vulnerabilitat coneguda públicament en programari o maquinari, amb el format CVE-any-número, per exemple CVE-2026-35273. L'identificador garanteix que fabricants, escàners, investigadors i administracions parlin de la mateixa vulnerabilitat.

Com es llegeix un número CVE?

CVE-2026-35273: l'any és l'any en què es va assignar o publicar l'identificador, no necessàriament l'any en què es va descobrir la vulnerabilitat. El número de seqüència té com a mínim quatre xifres i no diu res sobre la gravetat. La gravetat la llegeixes a la puntuació CVSS i, sobretot, en si es coneix explotació activa.

Quina és la diferència entre CVE i CVSS?

CVE és el nom, CVSS la gravetat. CVSS (Common Vulnerability Scoring System) dona una puntuació de 0 a 10: baixa (0,1 a 3,9), mitjana (4,0 a 6,9), alta (7,0 a 8,9) i crítica (9,0 a 10,0). Un CVE rep la seva puntuació CVSS del fabricant o de bases de dades com l'NVD.

Què vol dir «explotada activament»?

Que hi ha proves que els atacants la fan servir en atacs reals. L'agència nord-americana CISA manté per a això el catàleg Known Exploited Vulnerabilities, els CERT nacionals (a l'Estat el CCN-CERT i l'INCIBE-CERT, a Catalunya l'Agència de Ciberseguretat de Catalunya) valoren probabilitat i impacte als seus avisos, i EPSS estima la probabilitat d'explotació en els propers trenta dies. Un CVE explotat activament es pedaça primer, sigui quin sigui el seu CVSS.

On consulto un CVE?

A cve.org (el programa CVE que gestiona MITRE), a la National Vulnerability Database del NIST per a la puntuació CVSS, a la base de dades europea de vulnerabilitats EUVD d'ENISA, als avisos del teu CERT i a l'avís del mateix fabricant. Els escàners de vulnerabilitats enllacen les seves troballes als mateixos identificadors.

Qui assigna els números CVE?

Les CVE Numbering Authorities (CNA): fabricants, organitzacions de recerca i CERT autoritzats a emetre identificadors per als seus propis productes o àmbit. MITRE gestiona el programa. Des del novembre de 2025 ENISA és CVE Root per a les organitzacions europees, de manera que les CNA europees depenen d'un paraigua europeu.

He de pedaçar tots els CVE?

No: has d'avaluar cada CVE rellevant i corregir primer els perillosos. Prioritza per explotació activa, exposició a internet, CVSS i impacte en el negoci, i documenta mesures compensatòries per al que no puguis pedaçar. Sota NIS2 i les seves transposicions, la gestió de vulnerabilitats forma part del deure de diligència, i sota el Cyber Resilience Act els fabricants han de notificar en 24 hores les vulnerabilitats explotades activament als seus productes des de l'11 de setembre de 2026.

Fonts

1. ENISA. ENISA scales up its role in the CVE Program.
2. ENISA. European Vulnerability Database (EUVD); MITRE, CVE Program; NIST, National Vulnerability Database; CISA, Known Exploited Vulnerabilities Catalog; FIRST, CVSS i EPSS; CCN-CERT, avisos de seguretat; Agència de Ciberseguretat de Catalunya, ciberseguretat.gencat.cat.