Wat is een CVE?
Een CVE (Common Vulnerabilities and Exposures) is een uniek, openbaar identificatienummer voor een
bekende kwetsbaarheid in software, hardware of firmware, zoals CVE-2021-44228, dat wereldwijd door leveranciers, beveiligers en tools
wordt gebruikt om over dezelfde security-kwetsbaarheid te praten. Het CVE-programma bestaat sinds 1999, wordt uitgevoerd
door MITRE en gefinancierd door het Amerikaanse
CISA. Een CVE zegt welke kwetsbaarheid het
is, niet hoe erg die is: daarvoor bestaat CVSS. Voor OT-omgevingen is het CVE-nummer de
sleutel die leveranciersadvisories, scanners en de eigen assetlijst aan elkaar koppelt.
🧠 Hoe werkt het CVE-programma?
Het CVE-programma is in feite een woordenboek: het kent nummers toe, maar test of repareert zelf niets. Het werk is verdeeld over honderden organisaties:
- MITRE - voert het programma uit sinds de start in september 1999, toen de eerste lijst 321 vermeldingen telde
- CVE Numbering Authorities (CNA’s) - ruim 500 organisaties die zelf CVE-nummers mogen toekennen binnen hun eigen domein, zoals Microsoft, Siemens, ABB, Schneider Electric en Rockwell Automation
- Root-CNA’s - coördinatoren boven een groep CNA’s; CISA is sinds 15 september 2020 de top-level root voor leveranciers van industriële besturingssystemen (ICS) en medische apparatuur
- CVE Board - bestuur met vertegenwoordigers uit overheid, bedrijfsleven en onderzoek dat de regels vaststelt
Europa krijgt een grotere rol. ENISA is sinds januari 2024 zelf CNA en sinds november 2025 root voor Europese organisaties. Het Nederlandse DIVD (Dutch Institute for Vulnerability Disclosure) is CNA en valt inmiddels onder die ENISA-root.
Het programma bleek kwetsbaar. In april 2025 dreigde het contract tussen CISA en MITRE af te lopen; CISA verlengde het op het laatste moment met elf maanden tot 16 maart 2026. Leden van het CVE Board richtten daarop de CVE Foundation op, gericht op een onafhankelijker beheer. Begin 2026 liet CISA weten dat de financiering van het programma was veiliggesteld.
🧱 Hoe is een CVE-nummer opgebouwd?
Een CVE-ID heeft de vorm CVE-JJJJ-NNNN. Het jaartal is het jaar waarin het nummer werd
gereserveerd of toegekend, niet per se het jaar van ontdekking of publicatie. Het volgnummer heeft sinds 1
januari 2014 minimaal vier cijfers en kan langer zijn, zoals CVE-2024-123456.
Een CVE-record kent drie statussen:
| Status | Betekenis |
|---|---|
| Reserved | Het nummer is gereserveerd door een CNA, maar de details zijn nog niet openbaar, bijvoorbeeld omdat een patch nog in ontwikkeling is |
| Published | Het record is openbaar met beschrijving, getroffen producten en referenties |
| Rejected | Het nummer wordt niet gebruikt, bijvoorbeeld omdat het een duplicaat is of geen echte kwetsbaarheid bleek |
Een gepubliceerd record bevat minimaal:
- Het CVE-ID
- Een beschrijving van de kwetsbaarheid
- De getroffen producten en versies
- Referenties, zoals de advisory van de leverancier
Vaak, maar niet altijd, staan er ook een CVSS-score, een CWE-categorie (het type zwakte, bijvoorbeeld een buffer overflow) en machineleesbare productidentificaties (CPE) bij. Die verrijking komt van de CNA zelf, van CISA, dat sinds 2024 als zogeheten ADP aanvullende gegevens toevoegt, of van de National Vulnerability Database (NVD) van NIST.
🔄 Wat is het verschil tussen CVE, CVSS, CWE en KEV?
Deze begrippen worden vaak door elkaar gehaald, maar beantwoorden elk een andere vraag:
| Begrip | Beheerder | Vraag | Voorbeeld |
|---|---|---|---|
| CVE | MITRE / CVE-programma | Welke kwetsbaarheid is het? | CVE-2021-44228 |
| CVSS | FIRST | Hoe ernstig is de kwetsbaarheid technisch? | 10,0 (kritiek) |
| CWE | MITRE | Welk type zwakte zit erachter? | CWE-502, onveilige deserialisatie |
| KEV | CISA | Wordt de kwetsbaarheid al actief misbruikt? | Ja, met vereiste actie |
| NVD | NIST | Aanvullende scores en productkoppelingen | CVSS-vector, CPE-lijst |
| EUVD | ENISA | Europese kwetsbaarhedendatabase met CVE-koppeling | EUVD-nummer per CVE |
CVSS v3 en v4 delen de score als volgt in:
| Score | Ernst |
|---|---|
| 0,0 | Geen |
| 0,1 – 3,9 | Laag |
| 4,0 – 6,9 | Medium |
| 7,0 – 8,9 | Hoog |
| 9,0 – 10,0 | Kritiek |
🎯 Waarom zijn CVE’s belangrijk?
CVE’s maken kwetsbaarhedenbeheer op schaal mogelijk. Zonder gemeenschappelijk nummer zou elke leverancier, scanner en database dezelfde fout anders noemen. Met een CVE kunt u:
- Snel vaststellen of uw systemen kwetsbaar zijn, door CVE’s te koppelen aan uw assetinventaris
- Updates prioriteren binnen patchmanagement, in combinatie met CVSS, KEV en uw eigen context
- Automatiseren: kwetsbaarheidsscanners, SBOM’s en CSAF-advisories verwijzen allemaal naar CVE-nummers
- Eenduidig communiceren met leveranciers, het NCSC, uw CERT en toezichthouders
Het aantal CVE’s groeit hard: in 2024 werden er bijna 40.000 gepubliceerd en in 2025 ruim 48.000. Sinds 1999 zijn het er meer dan 300.000. Niemand kan ze allemaal beoordelen, dus filteren is noodzaak.
Die druk is ook zichtbaar bij de NVD. Sinds februari 2024 liep er een achterstand in de verrijking op. Sinds 15 april 2026 verrijkt NIST met voorrang CVE’s uit de KEV-catalogus, uit software van de Amerikaanse federale overheid en uit kritieke software; achterstallige CVE’s buiten die groepen krijgen de status Not Scheduled. Wie zijn scanner volledig op NVD-gegevens laat leunen, mist daardoor productkoppelingen. Leveranciersadvisories en CSAF-feeds worden dus belangrijker.
🏭 Hoe gebruikt u CVE’s in OT-omgevingen?
In industriële omgevingen raken CVE’s onder meer:
- PLC’s, SCADA-systemen, HMI’s en industriële gateways
- Netwerkcomponenten zoals routers, switches en firewalls
- Software zoals MES, historians en Windows-engineeringstations
- IT-componenten in de OT-zone, zoals VPN-gateways voor remote access
Bekende voorbeelden laten zien hoe CVE’s en OT samenkomen. Stuxnet verspreidde zich in 2010 onder meer via CVE-2010-2568, een lek in de verwerking van Windows-snelkoppelingen. CVE-2023-6448, een standaardwachtwoord in Unitronics Vision-PLC’s, werd eind 2023 misbruikt tegen drinkwaterbedrijven. En Log4Shell (CVE-2021-44228), sinds 9 december 2021 openbaar, maakte het via de logging-bibliotheek Apache Log4j mogelijk om met één eenvoudige tekenreeks op afstand code uit te voeren (RCE). Het lek trof ook veel industriële softwarepakketten en kreeg een CVSS-score van 10,0.
Een praktische aanpak in OT:
- Ken uw installatie - leg per asset fabrikant, type en firmwareversie vast; zonder versie geen CVE-koppeling.
- Volg de juiste bronnen - advisories van uw leveranciers (bij voorkeur als CSAF-feed), CISA ICS-advisories, NCSC-adviezen en de KEV-catalogus.
- Beoordeel in context - is het systeem bereikbaar, wordt het lek actief misbruikt, raakt het de veiligheid? Leg de afweging vast in uw risicomanagement.
- Kies een maatregel - patchen in een onderhoudsstop, of tijdelijk mitigeren met netwerksegmentatie, firewallregels of extra monitoring wanneer patchen niet direct kan.
- Toets en documenteer - dit sluit aan bij de patch- en kwetsbaarheidseisen van IEC 62443 en bij de CSIR-aanpak.
In Nederland komt daar regelgeving bij. De Cyberbeveiligingswet vraagt van essentiële en belangrijke entiteiten kwetsbaarheden actief te beheren, en onder de Cyber Resilience Act moeten fabrikanten sinds 11 september 2026 actief misbruikte kwetsbaarheden binnen 24 uur melden via de CRA-meldplicht. Onderzoekers die een lek vinden, kunnen dat via responsible disclosure melden bij de leverancier, het NCSC of DIVD.
❓ Veelgestelde vragen
Wie kent een CVE-nummer toe?
Een CVE-nummer wordt toegekend door een CVE Numbering Authority (CNA), meestal de leverancier van het getroffen product zelf, zoals Siemens of Microsoft. Heeft de leverancier geen eigen CNA, dan kent een root-CNA het nummer toe; voor industriële besturingsproducten is dat CISA. MITRE is de CNA van laatste redmiddel.
Betekent een CVE dat mijn systeem gehackt is?
Nee, een CVE betekent alleen dat er in een bepaalde productversie een bekende kwetsbaarheid zit. Of uw systeem echt risico loopt, hangt af van de versie, de configuratie, de bereikbaarheid en of er actief misbruik plaatsvindt. Daarom combineert u een CVE altijd met CVSS, de KEV-catalogus en uw eigen context.
Wat is het verschil tussen een CVE en een zero-day?
Een zero-day is een kwetsbaarheid die wordt misbruikt voordat de leverancier ervan weet of een patch heeft, en heeft vaak nog geen CVE-nummer. Zodra de kwetsbaarheid bekend wordt, krijgt die meestal alsnog een CVE. Veel CVE’s in de KEV-catalogus begonnen als zero-day.
Waarom staat er een jaartal in een CVE-nummer?
Het jaartal in een CVE-nummer geeft het jaar aan waarin het nummer werd gereserveerd of toegekend. Een kwetsbaarheid die in december wordt gereserveerd en in januari wordt gepubliceerd, houdt dus het oude jaartal. Het jaartal zegt daarom weinig over de leeftijd van het lek.
Waar zoek ik CVE’s voor mijn OT-apparatuur op?
CVE’s voor OT-apparatuur vindt u in de advisories van de fabrikant, de ICS-advisories van CISA, de NVD van NIST en de European Vulnerability Database van ENISA. Leveranciers zoals Siemens publiceren hun advisories op een vaste dag per maand, ook als machineleesbare CSAF-bestanden. Koppel die bronnen bij voorkeur automatisch aan uw assetinventaris.
Krijgt elke kwetsbaarheid een CVE?
Nee, alleen publiek bekende kwetsbaarheden in producten die onder het CVE-programma vallen, krijgen een CVE-nummer. Configuratiefouten, zwakke wachtwoorden in uw eigen installatie of ontwerpfouten in een maatwerkapplicatie krijgen er meestal geen. Die horen wel in uw kwetsbaarhedenbeheer thuis.
📌 Samengevat
Een CVE is het gemeenschappelijke nummer waarmee de hele sector naar dezelfde kwetsbaarheid verwijst. Het programma van MITRE en CISA telt ruim 500 CNA’s en publiceert tienduizenden CVE’s per jaar, waardoor prioriteren met CVSS, KEV en eigen context onmisbaar is. In OT is het CVE-nummer de schakel tussen leveranciersadvisories, uw assetinventaris en uw patch- en mitigatiebeslissingen.
Een CVE is een unieke identificatie van een bekende kwetsbaarheid, die organisaties helpt snel en eenduidig te reageren op beveiligingsrisico’s: een essentieel hulpmiddel in patchmanagement, risicobeheer en informatiebeveiliging, ook in OT-omgevingen.