Wat is een CVE? Betekenis, CVSS en hoe je een CVE-nummer leest

Elke dag worden er tientallen nieuwe kwetsbaarheden gepubliceerd. Zonder een gemeenschappelijke naam zou elke leverancier, scanner en onderzoeker hetzelfde lek anders noemen en zou niemand weten of "het Citrix-lek" van je leverancier hetzelfde is als dat in het NCSC-advies. Daar is CVE voor. In dit artikel lees je hoe het systeem werkt, hoe je een CVE-nummer en de bijbehorende score leest en hoe je bepaalt welke CVE's je deze week moet patchen en welke kunnen wachten.

Wat is een CVE precies?

CVE staat voor Common Vulnerabilities and Exposures: een wereldwijd register van publiek bekende kwetsbaarheden, elk met een uniek nummer en een korte beschrijving. Het programma bestaat sinds 1999 en wordt beheerd door MITRE. Een CVE-vermelding zegt welke kwetsbaarheid het is en in welk product; ze bevat geen score, geen exploit en geen herstelinstructies. Die informatie komt uit andere bronnen die naar hetzelfde nummer verwijzen: de advisory van de leverancier, de National Vulnerability Database (NVD) van NIST met de CVSS-score, de Europese kwetsbaarhedendatabase EUVD van ENISA en de beveiligingsadviezen van het NCSC.

Hoe lees je een CVE-nummer?

Een CVE-nummer heeft altijd dezelfde opbouw: CVE-JJJJ-NNNNN.

• JJJJ is het jaar waarin het nummer is toegekend of gepubliceerd. Dat hoeft niet het jaar te zijn waarin de kwetsbaarheid is ontdekt of waarin de software is gemaakt.
• NNNNN is een volgnummer van minimaal vier cijfers; sinds 2014 kan het er ook vijf of meer zijn. Het volgnummer zegt niets over de ernst.

Voorbeeld: CVE-2026-35273 is een kwetsbaarheid in Oracle PeopleSoft die in 2026 is gepubliceerd en als zero-day werd misbruikt. Wat die kwetsbaarheid inhoudt en wat je ermee moest, beschreven we in Oracle PeopleSoft actief aangevallen. Het nummer zelf vertelt je alleen: dit is de kwetsbaarheid waar iedereen het over heeft.

CVE, CVSS en "actief uitgebuit": drie verschillende dingen

De meeste verwarring ontstaat doordat drie begrippen door elkaar lopen. Ze beantwoorden elk een andere vraag:

CVSS: de ernst

Het Common Vulnerability Scoring System geeft een score van 0 tot 10 op basis van onder meer aanvalsvector (via internet of alleen lokaal), complexiteit, benodigde rechten en gebruikersinteractie, en de impact op vertrouwelijkheid, integriteit en beschikbaarheid. De banden: laag 0,1 tot 3,9, gemiddeld 4,0 tot 6,9, hoog 7,0 tot 8,9 en kritiek 9,0 tot 10,0. Een 9,8 betekent doorgaans: op afstand misbruikbaar, zonder inloggen, met volledige overname als gevolg. CVSS zegt echter niets over de kans dat iemand het bij jóu probeert.

Actief uitgebuit: de urgentie

Van de duizenden CVE's per jaar wordt maar een klein deel daadwerkelijk misbruikt. Die kleine groep bepaalt je prioriteit. Drie bronnen helpen: de Known Exploited Vulnerabilities-catalogus van de Amerikaanse CISA somt kwetsbaarheden op waarvan misbruik is bevestigd; EPSS (Exploit Prediction Scoring System) van FIRST schat per CVE de kans op misbruik in de komende dertig dagen; en de beveiligingsadviezen van het NCSC geven per kwetsbaarheid een inschatting van kans en schade, toegespitst op Nederland. Een CVE met een gemiddelde CVSS die actief wordt misbruikt op een systeem dat aan internet hangt, gaat vóór een kritieke CVE zonder bekend misbruik op een intern systeem.

Wie kent CVE-nummers toe?

Niet MITRE zelf, maar een netwerk van CVE Numbering Authorities (CNA's): softwareleveranciers, onderzoeksorganisaties, bug-bountyplatforms en nationale CERT's die voor hun eigen producten of werkgebied nummers mogen uitgeven. Daarboven staan "roots" die CNA's toelaten en begeleiden. Lange tijd was dat vrijwel uitsluitend Amerikaans georganiseerd, met financiering vanuit de Amerikaanse overheid. Sinds november 2025 is ENISA CVE Root voor Europese organisaties; in augustus 2026 vielen er twintig CNA's onder die Europese koepel.^[1] Europa heeft daarmee een eigen ingang in het systeem en, met de EUVD, een eigen database.

Waar zoek je een CVE op?

• cve.org: het officiële register van het CVE-programma, met de beschrijving, de betrokken producten en verwijzingen.
• NVD (nvd.nist.gov): de Amerikaanse database die CVE's verrijkt met CVSS-scores, zwakheidstypen (CWE) en productkoppelingen (CPE).
• EUVD (euvd.enisa.europa.eu): de Europese kwetsbaarhedendatabase van ENISA, operationeel sinds mei 2025, met per kwetsbaarheid de status van misbruik en de beschikbare patches, ook voor meldingen die onder de Cyber Resilience Act binnenkomen.^[2]
• Beveiligingsadviezen van het NCSC: per CVE een Nederlandse inschatting van kans en schade en een handelingsperspectief.
• De advisory van de leverancier: de enige bron met de exacte getroffen versies en de patch.
• CISA KEV: of de kwetsbaarheid aantoonbaar wordt misbruikt.

Kwetsbaarheidsscanners, EDR-platforms en patchtools gebruiken dezelfde nummers, zodat je een bevinding in je scanner direct kunt koppelen aan het NCSC-advies en de leverancierspatch.

Welke CVE patch je eerst?

Niemand kan elke CVE direct patchen, en dat hoeft ook niet. Een werkbare volgorde:

1. Actief uitgebuit én bereikbaar vanaf internet: direct, desnoods buiten het patchvenster.
2. Actief uitgebuit, alleen intern bereikbaar: deze week, met compenserende maatregelen tot die tijd.
3. Kritiek of hoog volgens CVSS, geen bekend misbruik: in het reguliere patchvenster, extern bereikbare systemen eerst.
4. Gemiddeld en laag: gebundeld, op basis van bedrijfsimpact.
5. Niet te patchen (end-of-life, legacy, OT): isoleren, monitoren en het restrisico vastleggen.

Die afweging is precies wat Continuous Vulnerability Management doorlopend voor je doet: scannen, prioriteren op CVSS, EPSS en actief misbruik, verhelpen en valideren. En voor kwetsbaarheden die nog geen CVE-nummer hebben, omdat ze in jouw eigen applicatie zitten, is er geen database; die vind je alleen met een pentest.

CVE's en de wet

Twee Europese regels maken kwetsbaarhedenbeheer tot een verplichting. De Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2, van kracht sinds 15 augustus 2026) rekent "de respons op en bekendmaking van kwetsbaarheden" tot de zorgplicht van essentiële en belangrijke entiteiten. En de Cyber Resilience Act verplicht fabrikanten van producten met digitale elementen sinds 11 september 2026 om actief uitgebuite kwetsbaarheden in hun producten binnen 24 uur te melden, via het meldplatform van ENISA. Wie zelf software of apparatuur maakt, heeft daarmee niet alleen een patchproces nodig, maar ook een meldproces.

Veelgestelde vragen

Wat is een CVE?

Een CVE (Common Vulnerabilities and Exposures) is een uniek nummer voor één publiek bekende kwetsbaarheid in software of hardware, in de vorm CVE-jaar-volgnummer, bijvoorbeeld CVE-2026-35273. Het nummer zorgt dat leveranciers, scanners, onderzoekers en overheden over dezelfde kwetsbaarheid praten.

Hoe lees je een CVE-nummer?

CVE-2026-35273: het jaartal is het jaar waarin het nummer is toegekend of gepubliceerd, niet per se het jaar waarin de kwetsbaarheid is ontdekt. Het volgnummer heeft minimaal vier cijfers en zegt niets over de ernst. Hoe ernstig een CVE is, lees je af aan de CVSS-score en aan het feit of er misbruik bekend is.

Wat is het verschil tussen CVE en CVSS?

CVE is de naam, CVSS de ernst. CVSS (Common Vulnerability Scoring System) geeft een score van 0 tot 10: laag (0,1 tot 3,9), gemiddeld (4,0 tot 6,9), hoog (7,0 tot 8,9) en kritiek (9,0 tot 10,0). Een CVE krijgt zijn CVSS-score van de leverancier of van databases zoals de NVD.

Wat betekent "actief uitgebuit"?

Dat aanvallers de kwetsbaarheid aantoonbaar in echte aanvallen gebruiken. De Amerikaanse CISA houdt daarvoor de Known Exploited Vulnerabilities-catalogus bij, het NCSC geeft in zijn beveiligingsadviezen een inschatting van kans en schade, en EPSS schat de kans op misbruik in de komende dertig dagen. Een actief uitgebuite CVE patch je eerst, ongeacht de CVSS-score.

Waar zoek ik een CVE op?

Op cve.org (het CVE-programma van MITRE), in de National Vulnerability Database van NIST voor de CVSS-score, in de Europese kwetsbaarhedendatabase EUVD van ENISA, in de beveiligingsadviezen van het NCSC en in de advisory van de leverancier zelf. Kwetsbaarheidsscanners koppelen hun bevindingen aan dezelfde nummers.

Wie kent CVE-nummers toe?

CVE Numbering Authorities (CNA's): leveranciers, onderzoeksorganisaties en CERT's die voor hun eigen producten of werkgebied nummers mogen uitgeven. MITRE beheert het programma. Sinds november 2025 is ENISA CVE Root voor Europese organisaties, zodat Europese CNA's onder een Europese koepel vallen.

Moet ik elke CVE patchen?

Nee, je moet elke relevante CVE beoordelen en de gevaarlijke eerst verhelpen. Prioriteer op actief misbruik, bereikbaarheid vanaf internet, CVSS en bedrijfsimpact. Voor wat je niet kunt patchen leg je compenserende maatregelen vast. Onder de Cyberbeveiligingswet hoort kwetsbaarhedenafhandeling bij de zorgplicht, en fabrikanten moeten onder de Cyber Resilience Act actief uitgebuite kwetsbaarheden in hun producten sinds 11 september 2026 binnen 24 uur melden.

Bronnen

1. ENISA. ENISA scales up its role in the CVE Program.
2. ENISA. European Vulnerability Database (EUVD); MITRE, CVE Program; NIST, National Vulnerability Database; CISA, Known Exploited Vulnerabilities Catalog; FIRST, CVSS en EPSS; NCSC, Beveiligingsadviezen.