Maki na CVE da tsaron CVE suna da mahimmanci don kare aikace-aikacen software na zamani daga barazanar yanar gizo da ke tasowa. Gano da fifita raunin da ya shafi yadda ya kamata yana ba ƙungiyoyi damar magance mafi girman haɗarin da farko. Maki na CVE yana ba da standardan tsara hanyar da za a sanya raunin da ya faru ta hanyar tsanani, yayin da ayyukan tsaro na CVE ke tabbatar da cewa an sarrafa waɗannan haɗarin yadda ya kamata kuma an rage su.
A shekarar 2025, An buga CVEs 48,185, An sami ƙaruwa da kashi 20.6% daga 39,962 na shekarar 2024, kuma an ƙididdige kashi 38% na tsananin tsanani ko tsanani. Ganin yadda yawan ƙaruwar ke ƙaruwa da sauri, samun ƙarfin maki na CVE da dabarun tsaro ba zaɓi ba ne; dole ne.
Babbar matsalar ba wai kawai yawan bayanai ba ce, a'a, binciken gargajiya ba zai iya tafiya daidai da ita ba. NVD na NIST ya wadatar da kusan CVE 42,000 a shekarar 2025, wanda ya fi kashi 45% fiye da kowace shekara da ta gabata, amma har yanzu hakan bai isa ya ci gaba da ƙaruwar shigarwar ba. Sakamakon kai tsaye, kashi 28% ne kawai na sabbin CVEs da aka bayyana a shekarar 2025 suka sami cikakken wadatar NVD (maki na CVSS, rarrabuwar CWE, bayanan CPE), ya ragu sosai daga kashi 46.2% a shekarar 2024. Waɗannan alkaluma suna nuna ƙaruwar gaggawa ga ƙungiyoyi su sami matakan tsaro na CVE nasu, maimakon dogaro kawai da bayanan NVD da suka isa kan lokaci.
Menene Maki na CVE kuma Me Yasa Yana da Muhimmanci ga Tsaron CVE?
CVE na nufin Rauni da Bayyanar da Aka Saba, jerin raunin tsaro da fallasa ta hanyar yanar gizo da aka bayyana a bainar jama'a. Kowane shigarwa a cikin jerin CVE yana samun wani takamaiman mai ganowa da ake kira CVE ID, wanda ke nuna takamaiman rauni. Kamfanin MITRE yana kula da wannan tsarin, standardtantance yadda ake gano raunin da kuma tsara shi. Wannan yana tabbatar da cewa duk wanda ke cikin tsaron yanar gizo yana amfani da wannan ma'anar yayin tattaunawa kan takamaiman barazanar.
Maki na CVE ya ƙunshi kimanta kowace shigarwar CVE da kuma sanya maki na lambobi bisa ga tsananinsa. Wannan maki yana taimaka wa ƙungiyoyi su tantance matakin fifiko don magance raunin.
Yana ba su damar ware albarkatu yadda ya kamata da kuma rage haɗarin da ka iya tasowa. Tsarin kimantawa na CVE yana kimanta abubuwa kamar sauƙin amfani. Hakanan yana la'akari da tasirin sirri, mutunci, da samuwa (wanda galibi ake kira "triad na CIA"). Bugu da ƙari, yana kimanta yuwuwar gyara.
Yadda NVD, Jerin MITRE CVE, da CVE Scores ke Aiki Tare
Fahimtar alaƙar da ke tsakanin Bayanan Rauni na Ƙasa (NVD), Jerin MITRE, kuma tsaron CVE yana da mahimmanci don fahimtar yadda ake sarrafa raunin da ke cikin tsarin tsaro na yanar gizo.
Jerin MITRE CVE yana farawa ne ta hanyar gano raunin da kuma sanya musu CVE ID. Duk da haka, wannan jerin yana ba da bayanai na asali kawai game da kowace raunin da ya faru. NVD, wanda ke gudanar da shi ta hanyar Cibiyar Kasa ta StandardFasaha da Fasaha (NIST), yana ƙara wa wannan bayanai ta hanyar samar da cikakkun bayanai, nassoshi, kuma mafi mahimmanci, CVE yana yin maki ta hanyar Tsarin Bugun ulauracen Yanayi na Commonasa (CVSS).
NVD muhimmin tushe ne saboda yana aiki a matsayin ma'ajiyar bayanai standardBayanan raunin da aka dogara da s, wanda ke taimaka wa ƙungiyoyi su fahimci tasirin raunin da ya shafi cikakkiyar fahimta. NVD ba wai kawai ya haɗa da maki na CVSS ba har ma da cikakkun bayanai kamar:
- Cikakken bayanin na kowace rauni, gami da cikakkun bayanai na fasaha da kuma yanayin da za a iya amfani da raunin.
- Ma'aunin tasiri wanda ke nuna yadda raunin zai iya shafar sassa daban-daban na tsarin ƙungiya.
- Bayanin gyarawa kamar hanyoyin haɗi zuwa faci, shawarwari, da ragewa.
Saboda cikakken yanayinta, NVD ita ce hanyar da ƙungiyoyi za su bi idan suna buƙatar tantance tasirin rashin ƙarfi a zahiri da kuma fahimtar yadda za su magance shi yadda ya kamata.
CVSS: Tsarin maki na CVE da aka fi sani a Tsaron Yanar Gizo
Hanyar da aka fi amfani da ita wajen ƙididdige sakamakon CVE ita ce Tsarin Bugun ulauracen Yanayi na Commonasa (CVSS), wanda Dandalin Amsa da Tawagar Tsaro (FIRST) ke kula da shi kuma ya haɓaka. CVSS tana ba da standardhanyar auna tsananin raunin da ke tattare da shi, wanda hakan ke sauƙaƙa wa ƙungiyoyi su fifita waɗanda za su fara magancewa.
Musamman ma, CVSS tana auna raunin da ke tattare da cutar a sikelin daga 0 zuwa 10. A nan, 0 tana wakiltar babu haɗari kuma 10 tana wakiltar matakin mafi girman tsanani. Bugu da ƙari, maki ya dogara ne akan manyan ƙungiyoyin ma'auni guda huɗu:
Makin tushe:
Wannan yana nuna halayen da ke tattare da rauni wanda ke canzawa a tsawon lokaci da kuma a cikin yanayin masu amfani. Maki na asali yana la'akari da abubuwa kamar amfani da shi. Wannan yana nufin yadda yake da sauƙin amfani da rauni. Hakanan yana kimanta tasirin sirri, mutunci, da samuwa.
Maki na Wucin Gadi:
Wannan yana daidaita makin tushe bisa ga abubuwan da ke canzawa akan lokaci, kamar ko akwai gyara ko kuma ana amfani da amfani da amfani da amfani da shi a aikace. Ma'aunin lokaci ya haɗa da lokacin da lambar amfani ta cika, matakin gyara, da kuma amincewa da rahoto.
Makin Muhalli:
Wannan yana bawa ƙungiyoyi damar keɓance maki na CVSS don nuna tasirin raunin da ke cikin takamaiman muhallinsu. Yana la'akari da abubuwa kamar mahimmancin tsarin da abin ya shafa da kuma yiwuwar lalacewar da za a iya samu.
Ƙungiyar Ma'auni ta Ƙarin:
An gabatar da shi a cikin CVSS v4.0 kuma yana ba da ƙarin mahallin da zai iya yin tasiri ga kimantawar haɗari gaba ɗaya. Wannan ya haɗa da la'akari kamar buƙatun aminci, ma'aunin atomatik (wanda ke auna yadda sarrafa kansa ke shafar amfani da shi), da halaye na musamman waɗanda ƙila ba su dace da sauran ƙungiyoyin ma'auni ba. Kodayake jimlar ma'aunin CVSS bai haɗa da waɗannan ma'auni ba, suna ba da fahimta mai mahimmanci. Sakamakon haka, suna taimaka wa ƙungiyoyi su sami ƙarin bayani game da bayanai.cisions game da sarrafa raunin da ya faru.
The latest version, CVSS v4.0, yana gabatar da waɗannan haɓakawa don inganta daidaito da amfani da maki masu rauni. Ta hanyar inganta ma'auni, CVSS v4.0 yana kama sarkakiya da mahallin raunin yadda ya kamata. Wannan yana tabbatar da cewa maki suna ba da ƙarin kariyacise tunani na ainihin haɗarin.
Misali na Gaske: CVE-2021-44228 (Log4Shell)
Domin kwatanta yadda maki na CVE ke aiki a aikace, bari mu dubi CVE-2021-44228, wanda aka fi sani da Log4Shell. Rashin lafiyar ɗakin karatu na Apache Log4j 2 yana ba da damar aiwatar da lambar nesa (RCE). Sakamakon haka, mai hari zai iya karɓar iko akan tsarin da abin ya shafa.
- Lambar CVE: CVE-2021-44228
- Maki na Tushe na CVSS: 10.0 (Mahimmanci)
- Attack Vector: Cibiyar sadarwa (N) - Ana iya amfani da shi daga nesa.
- Rikicewar Hari: Ƙasa (L) - Madaidaicin amfani.
- Gata da ake buƙata: Babu (N) - Babu buƙatar gata.
- Ma'amalar mai amfani: Babu (N) - Ba a buƙatar hulɗar mai amfani.
- Matsayi: An Canza (C) - Yana shafar albarkatu fiye da yadda yake a da.
- Sirri, Mutunci, Tasirin Samuwa: Babban (H) - Cikakken sulhu na sirri, mutunci, da samuwa.
NVD ta bayar da maki na CVSS na 10.0, wanda ke nuna mafi girman matakin tsanani. Yaɗuwar wannan rauni, tare da sauƙin amfani da shi, ya sanya shi babban fifiko ga gyara a duk faɗin duniya.
Kalubalen da ke tattare da maki a CVE da kuma tasirinsu ga Tsaron CVE
Yayin da Rauni da Bayyanar da Aka Saba Yi (CVE) tsarin yayi a standardAn tsara shi don gano da kuma bin diddigin raunin da ke tattare da shi, wasu ƙuntatawa suna shafar ingancinsa wajen sarrafa haɗari.
CVE-2021-44228 (Log4Shell) yana nuna waɗannan ƙalubalen:
- Bayani Mai Iyaka Kan Cin Zarafin Jama'a: CVE-2021-44228 yana ba da wani abu na musamman da ke ganowa amma ba shi da cikakkun bayanai kan yadda maharan za su iya amfani da shi. Duk da cewa kwararru suna ganin yana da matukar muhimmanci, shigar CVE ba ta yi cikakken bayani kan ainihin hanyoyin da maharan ke amfani da su ba ko takamaiman tsare-tsare da ke ƙara rauni. Wannan gibin yana barin ƙungiyoyi ba su da tabbas game da haɗarin gaske.
- Sauye-sauye a Rahoton: CVE Rikodin sun bambanta sosai a cikin abun ciki da inganci. Wasu, kamar CVE-2021-44228, suna bayar da cikakkun bayanai da bayanai na fasaha, yayin da wasu kuma suka kasance gajeru ko kuma ba su cika ba. Wannan rashin daidaito yana ƙalubalantar ƙungiyoyi lokacin da suke ƙoƙarin tantance haɗarin rauni bisa ga shigar CVE kawai.
- Rashin Dacewa da Mu'amala: CVE shigarwar suna amfani da standardTsarin da ba zai iya nuna takamaiman mahallin mahalli daban-daban ba. Misali, CVE-2021-44228 yana shafar tsarin ta hanyoyi daban-daban dangane da kayayyakin more rayuwa na kamfani. Wannan rashin daidaito yana haifar da kimanta haɗari mara daidai idan bayanan CVE ba su dace da takamaiman yanayin ba.
- Jinkirin Bayyanawa: Sau da yawa akwai jinkiri tsakanin gano rauni da kuma ƙara shi zuwa ga bayanai na CVE. A wannan lokacin, masu kai hari na iya amfani da rauni kamar CVE-2021-44228 kafin su zama na jama'a, hakan na ƙara haɗarin da ke tattare da jinkiri wajen wayar da kan jama'a da kuma gyara su.
- Mayar da Hankali Kan Cututtukan da Aka Sanar: CVE Shigarwar ta shafi raunin da aka bayyana a bainar jama'a ne kawai, wanda ke barin raunin da ba a bayyana ba na tsawon kwanaki da barazanar da ba a bayyana ba. Dogara kawai akan CVE yana fallasa ƙungiyoyi ga haɗarin da ke tasowa waɗanda bayanan ba su riga sun tsara su ba.
- Ingancin Shigarwa mara daidaituwa: Ingancin CVE Shigarwar ta bambanta dangane da tushen. Wasu, kamar CVE-2021-44228, suna karɓar sabuntawa akai-akai tare da sabbin bayanai, yayin da wasu kuma suke ci gaba da kasancewa ba tare da wata matsala ba, wanda ke haifar da rashin daidaito da yuwuwar gibin bayanai.
- Takaitaccen Bayani game da Ingantaccen NVD: Ko da bayan an buga CVE, babu tabbacin za a yi masa maki da sauri. CVE 54,914 daga 2024–2025 sun ci gaba da kasancewa a cikin jerin sunayen NVD suna jiran cikakken bincike. A watan Afrilun 2026, NIST ta sanar da cewa yanzu za ta ba da fifiko ne kawai ga wadatar CVE nan take a cikin CISKasidar A's Known Exploited Vulnerabilities (KEV), manhajojin da ake amfani da su a cikin gwamnatin tarayya, da kuma manhajoji masu mahimmanci kamar yadda Dokar Zartarwa ta 14028 ta bayyana. Duk wani abu kuma an wadatar da shi bisa ga ƙoƙari mafi kyau, ma'ana yawancin ƙungiyoyi ba za su iya ɗaukar cewa za a sami maki na CVSS lokacin da suka fi buƙatarsa ba.
EPSS: Inganta Tsaron CVE don Gudanar da Rauni Mai Cikakke
CVE-2021-44228 yana kuma nuna inda aka samo Tsarin Bugun ulauracen Yanayi na Commonasa (CVSS), kodayake yana da ƙarfi, amma bai yi nasara ba. Wannan gazawar ta nuna mahimmancin Tsarin Maki na Hasashen Cin Zarafi (EPSS).
Menene EPSS?
EPS yana amfani da tsarin da ke amfani da bayanai don yin hasashen yiwuwar amfani da shi ga raunin da ya faru kamar CVE-2021-44228 cikin kwanaki 30 masu zuwa. Sabanin haka CVSS, wanda ke auna tasirin da zai iya faruwa, EPS yana ƙiyasta yiwuwar cin zarafi bisa ga bayanai da yanayin tarihi.
Me yasa EPSS ke da mahimmanci?
- Ingantaccen fifiko: EPS Yana bawa ƙungiyoyi damar fifita raunin da ke tattare da su ba wai kawai bisa ga tsananinsu ba, har ma da yiwuwar cin zarafi. Misali, lokacin da ƙungiyoyin tsaro suka san hakan CVE-2021-44228 suna da babban yuwuwar cin zarafi, suna mai da hankali kan ƙoƙarin gyara inda suka fi buƙatar hakan.
- Tsaro Mai Tsara: EPS yana bawa ƙungiyoyin tsaro damar ɗaukar matakan riga-kafi kan raunin da za a iya amfani da shi, wanda hakan ke rage haɗarin samun nasarar hare-hare.
- Ma'ana ta MusammancisYin ion: EPS yana ba da ƙarin mahallin da ke cewa CVSS shi kaɗai zai iya rasa, kamar gano raunin da maharan ke kai hari akai-akai. Wannan yana haifar da ƙarin bayani da dabarun warware matsalar.cisyin ion.
- Inganta Albarkatu: Ga ƙungiyoyi masu ƙarancin albarkatu, EPS yana taimakawa wajen rarraba ƙoƙari yadda ya kamata ga raunin da ke haifar da babbar barazana, yana tabbatar da ingantaccen dabarun tsaro.
Iyakokin EPSS
Duk da fa'idarsa. EPS yana da iyaka. Ya dogara ne akan bayanan tarihi, wanda bazai nuna yanayin barazanar da ake ciki a yanzu ba. Mayar da hankali kan hasashen cin zarafi cikin kwanaki 30 na iya yin watsi da barazanar dogon lokaci.
EPS yana ba da bayanai gabaɗaya ba tare da la'akari da takamaiman yanayin muhallin mutum ɗaya ba. A ƙarshe, ya dogara ne akan yanayin amfani da shi a baya, wanda bazai iya ɗaukar canje-canje cikin sauri a cikin dabarun kai hari ko raunin da aka gano ba.
Daidaita CVE da EPSS don Gudanar da Rauni Mafi Kyau
Domin sarrafa raunin da ya dace, ƙungiyoyi dole ne su fahimci kuma su magance iyakokin duka biyun CVSS da kuma EPSHaɗa waɗannan kayan aikin yana ba da cikakken bayani game da yanayin raunin da ke tattare da shi. Wannan hanyar tana daidaita tsananin da yuwuwar amfani da shi, wanda ke haifar da ingantaccen fifiko, da kuma fahimtar bayanai.cisyin ion, da kuma ingantattun sakamakon tsaro ta yanar gizo.
Yana Magance Kalubalen Fifita Muhimman Raunuka
A cikin wannan shafin yanar gizo, mun bincika sarkakiyar maki na CVE, muhimmiyar rawar da Database na Ƙasa ke takawa wajen rage radadi (NVD), da kuma yadda kayan aiki kamar Tsarin Binciken Hasashen Exploit (EPSS) ke ƙara zurfafawa ga kula da rauni ta hanyar hasashen yiwuwar cin zarafi. Duk da haka, sarrafa raunin yadda ya kamata yana buƙatar fiye da fahimtar waɗannan ra'ayoyi kawai - yana buƙatar cikakkiyar hanyar da ta dace da takamaiman buƙatun tsaro na ƙungiyar ku.
Daga kusan An san raunin da aka sani 176,000, sama da 19,000 suna ɗauke da maki CVSS na 9.0–10.0, wanda ke nuna manyan haɗari. Duk da haka, yawancinsu—kimanin kashi 77.5%—suna faɗuwa cikin matsakaicin maki na 4.0 zuwa 8.0. Wannan rarrabawar mai faɗi tana nuna ƙalubalen: na fifita waɗanda za a fara magancewa da kuma yadda za a yi hakan da ƙarancin albarkatu yayin da ake riƙe da tsaro mai ƙarfi.
Binciken Tsarin Software na Xygeni (SCA) mafita tana magance wannan ƙalubalen ta hanyar haɗa maki na CVE tare da EPSS da sauran kayan aikin mahallin, yana ba ku cikakken hoto na yanayin raunin ku. Maganinmu yana duba tushen lambar ku sosai a cikin majiyoyi da yawa, gami da NPM, GitHub, da OWD, yana tabbatar da cewa ba ku rasa duk wata barazanar tsaro da za ta iya tasowa ba.
Yadda Xygeni's SCA Magani Ya Maida CVE Score Zuwa Aiki
Daga cikin CVE 48,185 da aka buga a shekarar 2025, an kimanta kashi 38% na tsananin tsanani ko tsanani, kuma matsakaicin maki na CVSS na shekarar shine 6.60. Wannan adadi ne da yawa na "masu mahimmanci" da "masu girma" da ke fafatawa don samun albarkatun gyara iri ɗaya, kuma hakan ya faru ne kafin a yi la'akari da gaskiyar cewa kashi 28% ne kawai na CVE 2025 suka sami cikakken wadatar NVD tun farko.
Binciken Tsarin Software na Xygeni (SCA) mafita tana magance wannan ƙalubalen ta hanyar haɗa maki na CVE tare da EPSS da ƙarin siginar mahallin, tana ba ku cikakken hoto na yanayin raunin ku, ba tare da la'akari da ko NVD ta sami damar haɓaka wani CVE ba tukuna. Yana duba tushen lambar ku a cikin npm, GitHub, da sauran rajistar buɗaɗɗen tushe, don haka babu abin da zai ratsa ta ba tare da an lura ba.
Ga yadda yake ƙara wa dabarun kula da raunin ku:
- Maki na CVE + Haɗin EPSS. Haɗa tsananin (CVSS) da yiwuwar amfani da shi (EPSS) yana nufin ƙungiyar ku ta fara gyara abin da ake amfani da shi a daji, ba wai kawai abin da ya fi samun maki a takarda ba.
- Binciken Sauƙin Isarwa. Xygeni bai tsaya a kan "wannan CVE yana nan a cikin bishiyar dogaro da kai ba." Yana ƙayyade ko hanyar lambar mai rauni za a iya isa gare ta a cikin aikace-aikacen ku, yana rage hayaniya sosai kuma yana mai da hankali kan gyarawa kan haɗarin da za a iya amfani da shi.
- Sanin Mahalli. Ta hanyar amfani da hanyoyin ba da shawara da tsarin maki da yawa a lokaci guda, Xygeni yana daidaitawa da yanayin ƙungiyar ku maimakon amfani da maki ɗaya mai girma-ya dace da kowane irin yanayi.
- Ci gaba da Kulawa & Faɗakarwa a Lokaci-lokaci. Ana buga sabbin CVEs da sabbin maki na EPSS akai-akai. Xygeni yana sa ido akai-akai, don haka raunin da ba a ba shi fifiko ba jiya, kuma ya zama ruwan dare gama gari a yau, ba ya ɓacewa.
Sakamakon: tare da sama da kashi ɗaya bisa uku na sabbin CVEs da aka riga aka yiwa alama High ko Critical, kuma wadatar NVD tana raguwa a kowace shekara, bincika kowane bincike da hannu ba abu ne mai yiwuwa ba. Xygeni yana taimaka wa ƙungiyar ku ta mai da hankali kan ƙaramin ɓangaren da ke da tsanani kuma da gaske za a iya amfani da shi a cikin muhallinku.
Buƙatar Demo or fara Kyauta don ganin yadda Xygeni ke mayar da maki CVE zuwa dabarun kula da raunin da aka fi mayar da hankali a kai, wanda za a iya aiwatarwa.
FAQs
Menene bambanci tsakanin CVE, CVSS, da NVD?
CVE wani abu ne na musamman da ke gano wani rauni na musamman. CVSS (Tsarin Zana Rauni na gama gari) shine tsarin maki da ake amfani da shi don kimanta tsananin raunin daga 0 zuwa 10. NVD (Bayanan Rauni na Ƙasa) shine ma'ajiyar bayanai, wanda NIST ke kula da shi, wanda ke wadatar da kowace CVE da maki na CVSS, bayaninsa, da nassoshi na gyara.
Menene EPSS, kuma ta yaya ya bambanta da CVSS?
EPSS (Tsarin Binciken Hasashen Amfani) ya kiyasta yiwuwar amfani da rauni a cikin kwanaki 30 masu zuwa, bisa ga bayanan cin zarafi na zahiri. CVSS yana auna yuwuwar yuwuwar mai tsanani idan an yi amfani da shi; EPSS yana auna alama amfani da duka biyun tare yana ba da siginar fifiko mafi daidaito fiye da ko dai su kaɗai.
Me yasa ba babban abu bane Shin CVSS ya isa ya ba da fifiko ga rauni?
Maki na CVSS yana nuna tsananin ka'ida, ba haɗarin gaske ba. Rauni mai maki 9.8 mai mahimmanci wanda ba za a iya isa gare shi a cikin takamaiman tushen lambar ku ba, ko kuma ba shi da wani amfani da aka sani, na iya zama ƙasa da fifiko fiye da na "matsakaici" da maharan ke amfani da shi a yanzu. Shi ya sa haɗa CVSS da EPSS da nazarin isa ga bayanai yana da mahimmanci.
Nawa ne CVEs ake bugawa kowace shekara?
Yawan CVE yana ƙaruwa akai-akai kowace shekara, tare da dubban sabbin raunin da ake bayyanawa kowace shekara. Ganin wannan sikelin, rarraba bayanai da hannu ba abu ne mai yiwuwa ba ga yawancin ƙungiyoyi, shi ya sa fifita bayanai ta atomatik, wanda ya san mahallin (CVSS + EPSS + isa ga bayanai) ya zama dole.
Menene CVE-2021-44228 (Log4Shell), kuma me yasa ake amfani da shi a matsayin misali?
Log4Shell wani muhimmin rauni ne na aiwatar da lambar nesa a cikin Apache Log4j 2, wanda ya sami maki 10.0 (mafi girma) akan CVSS. Ana amfani da shi sosai azaman misali na koyarwa saboda yana haɗa damar amfani da hanyar sadarwa, babu buƙatar gata, da kuma hulɗar mai amfani, yana kwatanta ainihin yadda "mahimmanci" yake a ƙarƙashin tsarin CVSS.
