// Glossario IT
CVE (Common Vulnerabilities and Exposures)
Un identificativo standardizzato assegnato a ogni vulnerabilità di sicurezza pubblicamente nota, per riferirsi ad essa in modo univoco.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Un CVE (Common Vulnerabilities and Exposures) è un identificativo univoco assegnato a ogni vulnerabilità di sicurezza pubblicamente documentata, nel formato CVE-anno-numero, che permette a produttori, ricercatori e strumenti di sicurezza di riferirsi esattamente alla stessa falla senza ambiguità, indipendentemente dalla fonte o dal linguaggio usato per descriverla.
Perché conta
Avere un identificativo standard rende possibile automatizzare gran parte della gestione delle vulnerabilità: gli strumenti di vulnerability scanning verificano la presenza di CVE noti sui sistemi aziendali, e i bollettini di sicurezza dei produttori li citano esplicitamente per permettere di capire subito quali sistemi sono interessati da un determinato aggiornamento.
In pratica
Per decidere cosa correggere per primo, oltre al punteggio CVSS contano due cose: se la vulnerabilità è già sfruttata attivamente (lo indica il catalogo KEV della CISA) e quanto è esposto il sistema coinvolto. L'elenco ufficiale degli identificativi è su cve.org.