Cos'è un CVE?

Due immagini per renderlo concreto

Innanzitutto, un CVE è un targa. Designa un veicolo specifico e solo uno. Non ti dice quanto velocemente sta andando, se si sta muovendo o se ha già attraversato il tuo cammino. Due testimoni che citano la stessa targa parlano necessariamente dello stesso veicolo: questo è tutto ciò che garantisce, ed è già molto.

In secondo luogo, un CVE è un Numero del caso Pronto Soccorso. Lo ottieni al ricovero, prima di ogni diagnosi: il numero esiste mentre la cartella è ancora vuota. Questo è esattamente lo stato "riservato" di un CVE, ed è il motivo per cui un CVE può apparire in uno strumento quasi senza informazioni, per poi essere compilato nei giorni successivi.

Ricorda la domanda a cui risponde CVE: di quale difetto stiamo parlando? – non “è una cosa seria?”, non “sono sotto attacco?”

Anatomia di un identificatore: CVE-YYYY-NNNN

Un identificatore CVE segue sempre la stessa struttura:

Due sottigliezze che quasi tutti sfuggono:

• L'anno riflette il prenotazione dell'identificatore, non la sua pubblicazione. Un CVE riservato nel dicembre 2025 e divulgato nel marzo 2026 mantiene l'anno 2025. Pertanto, l'ordinamento di un feed per anno non ha nulla a che fare con l'ordinamento per recency.
• Il numero di sequenza ha almeno quattro cifre e può crescere più a lungo. Siamo passati da CVE-2014-0160 a identificatori a sei cifre per assorbire il volume: un ordinamento alfabetico si rompe dove regge un ordinamento numerico.

Chi assegna CVEs: il ruolo delle CNA

Nessuna autorità centrale assegna identificatori. Quel lavoro appartiene alle organizzazioni autorizzate chiamate CNA (Autorità di numerazione CVE), che li riservano e li pubblicano nell'ambito del proprio ambito. Il programma conta più di 400 in tutto il mondo; l'elenco ufficiale, l'unico aggiornato, è pubblicato da cve.org.

• Il venditori (Microsoft, Apple, Google, Red Hat, Cisco...) sono i propri CNA e pubblicano CVEs per i loro prodotti.
• Ci sono anche coordinatori — CERT/CC, CERT nazionali — che coprono software senza fornitore CNA, in particolare open source.
• Il MITRE è CNA root e segreteria del programma; CISAA finanziarlo è l’agenzia americana per la sicurezza informatica.

Questo modello decentralizzato garantisce copertura e velocità: chi conosce meglio il difetto lo documenta. Ha un costo, che sarà l’argomento della sezione successiva.

Cosa contiene un record CVE e cosa spesso manca

Un CVE pubblicato fornisce, come minimo:

• una descrizione della vulnerabilità;
• il prodotti e versioni interessati, idealmente come identificatore standardizzato, CPE (Enumerazione della piattaforma comune, lo schema di denominazione che descrive il software in modo leggibile dalla macchina);
• il debolezza dietro di esso, classificato utilizzando CWE;
• un punteggio di gravità basato su CVSS, non sempre disponibile al momento della pubblicazione;
• e riferimenti: avvisi di sicurezza, patch, prove di concetto.

Quanto sono completi questi campi dipende interamente dall'CNA che pubblica il verbale. Da febbraio 2024, l'arricchimento da parte dell'NVD (punteggi e CPE aggiunti a posteriori) ha subito un forte rallentamento, lasciando un gran numero di record senza dati utilizzabili sulla versione interessata. Un CVE senza CPE né una gamma di versioni non può essere confrontato con nessun inventario, con nessuno strumento: è invisibile alla correlazione automatizzata. Questo è il motivo pratico per cui ne vengono effettuati diversi controlli incrociati fonti di dati è diventato essenziale, e perché il qualità di un CNA vale la pena misurare.

Il ciclo di vita di un CVE

Un CVE non è scolpito nella pietra. Il suo status cambia e tali cambiamenti spesso contano più della sua pubblicazione iniziale.

Oltre a questi stati ce ne sono due transizioni che cambiano tutto per la definizione delle priorità: essere aggiunti al Catalogo CISA KEV, il che significa che è stato osservato lo sfruttamento e la comparsa di a prova di concetto (PoC, in breve: codice pubblicato che dimostra l'attacco), che mette lo sfruttamento alla portata di chiunque. Il monitoraggio che tiene traccia solo delle nuove pubblicazioni non tiene conto di entrambi.

CVE, CVSS, EPSS, KEV: non confonderli

Questa è la confusione più comune e costa molto tempo. UN CVE identifica; gli altri tre caratterizzare lo stesso difetto da diverse angolazioni.

Un difetto visibile attraverso tutti e quattro i framework

Prendiamo Log4Shell e seguiamolo da un framework all'altro. Questo esercizio rende la differenza più chiara di qualsiasi definizione.

Leggi l'ultima riga: solo tra pubblicazione e sfruttamento confermato alcune ore è passato. Per un difetto di questo profilo, la finestra tra “lo scopriamo” e “siamo sotto attacco” non viene misurata in settimane. Questo è qualcosa che il solo punteggio CVSS non ti avrebbe mai detto.

Tre CVEs che hanno fatto la storia

Sanguinamento- CVE-2014-0160 (aprile 2014)

Una falla OpenSSL che consente agli aggressori di leggere la memoria di un server: chiavi private, password, contenuto della sessione. Un dettaglio significativo: il suo punteggio CVSS è 3.1 7.5, “alto”, non “critico” – perché consente solo la lettura, senza modificare o sconvolgere nulla. Eppure ha portato alla riemissione di una quota massiccia di certificati del web. La prova che il punteggio non misura la portata.

Log4Shell — CVE-2021-44228 (dicembre 2021)

Esecuzione di codice remoto in Log4j, la libreria di registrazione presente in gran parte del software Java aziendale. Voto 10 su 10, sfruttato in massa entro poche ore dalla divulgazione. La sua lezione duratura: la maggior parte delle organizzazioni colpite non sapevano che stavano utilizzando Log4j, perché era una dipendenza di una dipendenza.

Backdoor di XZ Utilis — CVE-2024-3094 (marzo 2024)

Una backdoor deliberatamente inserita in uno strumento di compressione Linux, il risultato di due anni di pazienza da parte di un collaboratore diventato manutentore. Individuato per caso da uno sviluppatore che ha notato una connessione SSH anormalmente lenta, poche settimane prima che il pacchetto raggiungesse le distribuzioni stabili. Voto 10 su 10. Ha spostato la domanda da "il mio codice è sicuro?" a "di chi si fida il mio codice?"

Perché il volume dell'CVE sta esplodendo

I numeri per gli anni interi più recenti: più di 40.000 CVEs pubblicato nel 2024, circa 28.800 nel 2023, 25.000 nel 2022. La curva non è scesa di un solo anno dal 2016. Più software, più ricercatori, più CNA autorizzate: tutti e tre i fattori spingono nella stessa direzione.

Convertiamolo in orario di lavoro. Ne arrivano quarantamila CVEs distribuiti in circa 250 giorni lavorativi 160 registrazioni al giorno. Ci vogliono quarantacinque secondi per leggere un record e decidere se ti riguarda due ore per giornata lavorativa — per un tasso di pertinenza che, su un parco di PMI, scende ben sotto l'un per cento. Nessun team regge questo ritmo, e nessuno dovrebbe doverlo fare.

Il contatore ufficiale del programma, aggiornato continuamente, è pubblicato su cve.org/about/Metrics. Preferiamo indicarvi questo punto piuttosto che congelare qui una cifra che tra sei mesi sarà superata.

Cosa significa per te, in pratica

Ecco cosa fa lunedì mattina una squadra che ha smesso di affogare nel feed.

1. Annota l'inventario. Fornitore, prodotto, versione principale, per tutto ciò che è esposto o contiene dati. Per una PMI bastano dalle venti alle quaranta righe. Senza questo elenco non è possibile filtrare: è l'unico lavoro che non puoi davvero saltare.
2. Filtra in base a quell'elenco. Tutto ciò che non corrisponde a una riga dell'inventario non rientra nell'ambito. È lì che scompare il 99% del rumore.
3. Ordina ciò che resta, in questo ordine. Nel KEV → gestire entro 48 ore. Altrimenti, EPSS sopra 0,1 → questa settimana. Altrimenti, CVSS rompe il pareggio, e solo allora.
4. Guarda le transizioni. Un CVE valutato “basso” martedì può entrare nell’KEV giovedì. Ciò che dovrebbe far scattare un avviso non è solo la pubblicazione, è un cambiamento di stato.

Domande frequenti