Что означает номер CVE

CVE ID - строковый идентификатор, связанный с конкретной публично раскрытой уязвимостью. Его назначают уполномоченные CVE Numbering Authorities (CNA) в пределах своей области. Запись CVE содержит описание и ссылки на первичные бюллетени или advisories.

Идентификатор не равен техническому анализу. Для понимания затронутых версий и исправления читайте записи производителя и ссылки в CVE Record. Один CVE может затрагивать несколько продуктов или компонентов; название приложения без версии недостаточно для вывода о риске.

Почему встречается RESERVED

CNA может зарезервировать номер до публикации подробной записи. На странице CVE Program статус Reserved but Public описывает ID, который уже упомянут в публичных источниках, но еще не сопровождается опубликованной записью. Поэтому пустой или неполный результат поиска не всегда означает ошибку ссылки.

CVE ID присваивается уязвимости, а не обновлению или патчу. Наличие записи не доказывает эксплуатацию в вашей среде и не показывает приоритет исправления. Для этого нужны сведения о затронутом продукте, экспозиции и доступных mitigations.

Год в идентификаторе не всегда говорит, когда впервые нашли уязвимость. По правилам CVE его могут связывать с годом назначения или первого публичного раскрытия. Проверяйте сам record и его references.

В CVE Record есть статус и references. Reserved не означает «не существует», а опубликованный ID не гарантирует, что все затронутые версии перечислены одинаково полно. Проверяйте дату и последующие изменения у CNA.

Как использовать CVE в учете

Сохраните ID вместе с источником, продуктом, версией и статусом исправления. Сверяйте реестр поставщика и инвентаризацию своей системы: CVE описывает уязвимость, но не определяет, установлен ли у вас затронутый компонент.

Смотрите CVSS, TLS и VPS/VDS. Использованы официальный CVE Program Glossary и CNA Rules 4.2.0, вступившие в силу 25 августа 2026 года; конкретные системы не сканировались.