CVE

Что это значит

CVE - это публичный перечень известных уязвимостей программного обеспечения, где у каждой есть уникальный идентификатор и краткое описание, например CVE-2024-12345. Благодаря общему обозначению производители, команды безопасности и инструменты говорят об одной и той же ошибке на одном языке.

Серьёзность уязвимости обычно выражается оценкой CVSS от 0 до 10, учитывающей, насколько легко ошибку использовать и какой ущерб она может причинить. Дополнительно отслеживают, эксплуатируется ли ошибка уже активно, что часто важнее самой оценки.

Уязвимость, которую злоумышленники используют до выхода исправления, называется уязвимостью нулевого дня. После публикации CVE и обновления начинается гонка со временем: злоумышленники нередко за несколько дней создают инструменты для массовой атаки на необновлённые системы.

Как это работает на практике

Фирмы используют CVE в рамках управления обновлениями: сканеры сравнивают установленное ПО с перечнем уязвимостей и предлагают, что обновить. Приоритет у систем, доступных из интернета, например VPN-шлюзов, почтовых серверов и веб-приложений.

При тесте на проникновение тестировщик указывает в отчёте найденные уязвимости с их CVE и рекомендациями. Руководству полезно перевести технический список в риски: какая система под угрозой, что атака означала бы для работы и к какому сроку это исправят.

Предупреждения о критических CVE публикуют производители и национальные команды CSIRT. Стоит на них подписаться, особенно для используемых продуктов, и договориться, кто в ИТ отвечает за их оценку, в том числе во время отпуска администратора.

На что обратить внимание

Высокая оценка CVSS автоматически не означает, что фирма под угрозой, а низкая не означает безопасности. Решает контекст: доступен ли уязвимый компонент извне, используется ли он вообще в данной настройке и есть ли опубликованный эксплойт.

Производители продуктов с цифровыми элементами по Cyber Resilience Act обязаны устранять уязвимости и сообщать об активно эксплуатируемых ошибках. При выборе ПО и устройств стоит проверить, как долго производитель обещает выпускать обновления безопасности.