CVE

Що це означає

CVE - це публічний перелік відомих уразливостей програмного забезпечення, де кожна має унікальний ідентифікатор і стислий опис, наприклад CVE-2024-12345. Завдяки спільному позначенню виробники, команди безпеки й інструменти говорять про ту саму помилку однією мовою.

Серйозність уразливості зазвичай виражають оцінкою CVSS від 0 до 10, що враховує, наскільки легко помилку використати і якої шкоди вона може завдати. Додатково відстежують, чи помилку вже активно експлуатують, що часто важливіше за саму оцінку.

Уразливість, яку зловмисники використовують до виходу виправлення, називають уразливістю нульового дня. Після публікації CVE й оновлення починаються перегони з часом: зловмисники нерідко за кілька днів створюють інструменти для масової атаки на неоновлені системи.

Як це працює на практиці

Фірми використовують CVE в межах керування оновленнями: сканери порівнюють установлене ПЗ з переліком уразливостей і пропонують, що оновити. Пріоритет мають системи, доступні з інтернету, наприклад VPN-шлюзи, поштові сервери й вебзастосунки.

Під час тесту на проникнення тестувальник зазначає у звіті знайдені вразливості з їхніми CVE й рекомендаціями. Керівництву корисно перекласти технічний список у ризики: яка система під загрозою, що атака означала б для роботи і до якого строку це виправлять.

Попередження про критичні CVE публікують виробники й національні команди CSIRT. Варто на них підписатися, особливо для продуктів, якими фірма користується, і домовитися, хто в ІТ відповідає за їх оцінку, зокрема під час відпустки адміністратора.

На що звернути увагу

Висока оцінка CVSS автоматично не означає, що фірма під загрозою, а низька не означає безпеки. Вирішує контекст: чи доступний уразливий компонент ззовні, чи використовується він узагалі в цьому налаштуванні та чи є опублікований експлойт.

Виробники продуктів із цифровими елементами за Cyber Resilience Act зобов'язані усувати вразливості й повідомляти про активно експлуатовані помилки. Вибираючи ПЗ і пристрої, варто перевірити, як довго виробник обіцяє випускати оновлення безпеки.