TL; DR
אבטחת CVE היא הפרקטיקה של מעקב, קביעת סדרי עדיפויות ותיקון פגיעויות באמצעות מזהי CVE. standardמזהים שהוקצו לפגמים בתוכנה ידועים לציבור. שכבת השמות עובדת. שכבת הניתוח שמתחתיה כבר לא עומדת בקצב, וחלק הולך וגדל של איומים אמיתיים כלל לא נכנסים למערכת.
- הנפח עלה על הניתוח. 48,185 דיווחי CVE פורסמו בשנת 2025, כ-131 ביום, ומספר ההגשות גדל ב-263% בין 2020 ל-2025. מספר המזהים עלה. ההעשרה לא.
- NVD הפסיק להעשיר הכל. מאז אפריל 2026, NIST מעשיר רק רשומות CVE העומדות בקריטריונים מוגדרים. כ-29,000 רשומות שנמצאו במצב של אי-הגעה סווגו מחדש כלא מתוכננות. אם סדר העדיפויות שלכם ממתין לציון CVSS של NVD, חלק הולך וגדל של רשומות CVE לעולם לא יעניקו לכם ציון כזה.
- בהלת המימון נסגרה, התלות לא. CISא' חידשה את התוכנית לאחר סיום התוכנית הכמעט מוחלט באפריל 2025, אך מבנה הספונסר היחיד שגרם לבהלה נותר ללא שינוי, וקרן CVE קיימת בזכותו.
- לא כל איום מקבל CVE. חבילה זדונית היא אובייקט זדוני שפורסם כדי לגרום נזק, לא פגם בקוד בתום לב. אין ייעוץ, אין ניקוד, בדרך כלל אין מזהה. תוכנית הבנויה על קליטת CVE עיוורת לכך מעצם עיצובה.
- תן עדיפות לפי הקשר, לא לפי המזהה. נגישות, זמינות ניצול לרעה, EPSS והשפעה עסקית מהווים ממצא מרכזי בשאלה האם רשומת ה-CVE מגיעה אי פעם בשלמותה או לא.
אבטחת CVE היא הפרקטיקה של מעקב, קביעת סדרי עדיפויות ותיקון פגיעויות באמצעות מזהי CVE, ה... standardמזהים שהוקצו לפגמים בתוכנה ידועים לציבור. זה עובד כי כולם משתמשים באותם שמות. זה נמצא תחת לחץ כי הנפח גדל מעל התשתית: 48,185 CVE פורסמו בשנת 2025, ונכון לאפריל 2026 מאגר הפגיעויות הלאומי כבר לא מעשיר את כולם.
מאמר זה מכסה מה אבטחת CVE עושה טוב, היכן היא נכשלת כעת, ומה יש לתעדף כאשר מזהה CVE או ציון CVSS מאחרים, חסרים או נעדרים באופן מתוכנן.
ראשית: מהי CVE באבטחת סייבר?
זוהי שאלה מרכזית: מה זה CVE באבטחת סייבר?
CVE הוא ראשי תיבות של פגיעויות וחשיפות נפוצות. זהו standardמזהה ייחודי המוקצה לפגיעויות תוכנה ידועות. במקום להיות מסד נתונים או ציון סיכון בפני עצמו, CVE פשוט נותן לכל פגיעות ציבורית מזהה ייחודי, כמו CVE-2025-XXXX. זה מאפשר מעקב עקבי בין כלים, ייעוץ ותהליכי עבודה לתיקון.
אז מהי CVE באבטחת סייבר? בעיקרון, זוהי מוסכמת מתן שמות שמבטיחה שכל צוות ידבר על אותה בעיה ומשתמש באותה שפה. זה קריטי בעת תיאום תגובות באבטחה, פיתוח ותפעול. אם אתם רוצים עוד, בקרו במילון המונחים שלנו.
תפקיד אבטחת CVE ב-DevSecOps
ב-DevSecOps, pipelineמערכות וכלים חייבים לעבוד יחד כדי לזהות ולטפל בפגיעויות כאשר הקוד עובר מפיתוח לייצור. מהו הדבק למערכת אקולוגית זו? אבטחת CVE:
- סורקי פגיעויות: מזהים פגמים ומחוברים למזהי CVE
- מערכות ניהול תיקונים: הן משתמשות במזהי CVE כדי להפוך תיקונים לאוטומטיים
- פלטפורמות מודיעין איומים: אלו מעשירות CVEs בנתוני ניצול, חומרה ופעילות
- דיווחי תאימות: הם מסתמכים על מעקב אחר חשיפה ל-CVEs ספציפיים
ללא מזהה משותף, כלים אלה לא יצליחו לתקשר ביעילות. זה הופך את אבטחת CVE לא רק למועילה, אלא גם חיונית באינטגרציה ובמסירה מתמשכות.
משבר ניהול פגיעויות: הבעיות עם CVE
הרעיון של CVE באבטחת סייבר מוצק, אך היישום הופך שביר יותר ויותר. ה-CSA הדגיש זאת לאחרונה בפוסט בבלוג שכותרתו A משבר ניהול פגיעויות: הבעיות עם CVE. ניתוח זה חושף שלוש בעיות קריטיות:
- עיכובים וחוסר עקביות: תוכנית ה-CVE מתקשה להקצות מזהים במהירות, במיוחד עבור פגיעויות בקוד פתוח. כתוצאה מכך, לצוותים חסרים לעיתים קרובות מזהים בזמן, מה שמאט את תהליך המיון והתיקון.
- כיסוי לא שלם: פגיעויות רבות אינן רשומות במסד הנתונים של CVE. זה משאיר פערים בזיהוי וחושף ארגונים לסיכונים לא מנוטרים.
- שבריריות תלות: המערכת האקולוגית הפכה להיות תלויה מדי בנקודת אמת אחת. כאשר הקצאות CVE מתעכבות או לא זמינות, ניהול הפגיעויות כולו pipeline מופרע
בעיות מערכתיות אלו באבטחת CVE מדגישות דבר חשוב אחד: הצורך הדחוף במודרניזציה ובגישות חלופיות אחרות. הבנת המגבלות הללו עוזרת לצוותי אבטחה להימנע מנקודות עיוורות ולפתח שיטות עבודה חזקות יותר. צפו בהרצאה בנושא שלנו ביוטיוב!
אתגרים עם CVE באבטחת סייבר
המורכבות הגוברת של פיתוח תוכנה עקפה את יכולותיה של מערכת CVE המסורתית. מספר אתגרים מגדירים כעת את נוף ה-CVE באבטחת סייבר:
- כֶּרֶך: CVE תוכנן עבור מערכת אקולוגית קטנה יותר. התוכנית פרסמה 48,185 פגיעויות חדשות בשנת 2025, עלייה של 20.6% לעומת 40,009 בשנת 2024, ומספר רשויות המספור של CVE הגיע ל-484 עד ינואר 2026. מדובר בערך ב-131 גילויים ביום. שכבת השמות גדלה. שכבת הניתוח לא.
- פערים קונטקסטואליים: ל-CVE רבים חסרים נתוני ניצול או תצורות מושפעות, מה שמקשה על קביעת סדרי עדיפויות.
- מערכות ניקוד מיושנות: CVSS, מסגרת הניקוד הקשורה ל-CVEs רבים, לרוב אינה משקפת את הסיכון בעולם האמיתי.
- מימון וממשל: באפריל 2025, CISא' ביצע אופציית חוזה בלילה שלפני כן מיטר'ס תוקף ההסכם פג, לאחר ש-MITRE הודיעה למועצת CVE כי הממשלה אינה מתכוונת לחדשו. מאז חודש המימון, ו CISכעת מתאר א' את התוכנית כממומנת במלואה ועוברת מודרניזציה. שאלות הממשל לא הסתיימו: מועצת ה-CVE מתפקדת בעיקר כגוף מייעץ בעוד ש-MITRE שומרת לעצמה את ההחלטות הסופיות.cisרשות ייצור היונים, ובקשות גישה ל-MITRE-CISחוזה, כולל בקשת FOIA, נותר ללא מענה. הפרק גם הציג את קרן CVE, עמותה שהוקמה על ידי חברי דירקטוריון במטרה לשאוף לעצמאות מספונסר ממשלתי יחיד.
- העשרה כבר אינה אוניברסלית. ב-15 באפריל 2026, NIST שינה את אופן פעולתו של NVD. כעת הוא מעשיר רק CVEs העומדים בקריטריונים מוגדרים; השאר רשומים אך מסומנים בעדיפות הנמוכה ביותר ואינם מועשרים באופן מיידי. כל הרשומות הצפויות עם תאריך פרסום של NVD לפני 1 במרץ 2026 הועברו ל"לא מתוכנן". פעולה זו סווגה מחדש כ-29,000 CVEs. ההסבר של NIST הוא חשבון ולא מדיניות: הוא העשיר כמעט 42,000 CVEs בשנת 2025, 45% יותר מכל שנה קודמת, וההגשות עדיין עלו על כך. אם סדר העדיפויות שלך pipeline מחכה לציון CVSS של NVD, חלק הולך וגדל של CVEs חדשים לעולם לא יעניקו לך אחד.
כל זה משדר לנו מסר ברור: אבטחת CVE לבדה כבר אינה מספיקה.
לא כל איום מקבל CVE
שיחת ה-CVE מניחה שהדבר שאתה עוקב אחריו הוא פגם בקוד שמישהו כתב בתום לב. חבילה זדונית אינה כזו. זוהי ארטיפקט שנבנה ופורסם כדי לגרום נזק, ואף אחד לא מגיש הודעת ייעוץ נגדה: אין CVE, אין ציון CVSS, ובדרך כלל אין מזהה כלל. היא פעילה במשך דקות עד שעות, ואז מוסרת.
התוצאה לא נוחה. "האם יש לזה CVE?" מחזירה את אותה התשובה עבור חבילה נקייה ועבור גונב אישורים שפורסם לפני שעה. תוכנית הבנויה כולה על קליטת CVE, ניקוד חומרה וחלונות תיקון היא עיוורת מבחינה מבנית לסוג תקיפה שלם, והיא הצומחת ביותר.
הגילוי צריך להתרחש בפרסום ולא בחשיפה. מערכת התרעה מוקדמת מפני תוכנות זדוניות של Xygeni מנתחת חבילות שפורסמו לאחרונה ב-npm, PyPI, Maven ורישומים אחרים ברגע שהן מופיעות, תוך שימוש בניתוח התנהגותי ואנומליות במקום להמתין לחתימה.
כיצד צוותי DevSecOps יכולים לחזק את נוהלי אבטחת CVE?
אפילו עם מגבלותיה, CVE באבטחת סייבר נותר standardאבל צוותי DevSecOps חייבים ללכת רחוק יותר. הנה 5 אסטרטגיות לשיפור החוסן שלכם:
- גוונו את מקורותיכם: אל תבנה א pipeline עם נקודת כשל יחידה. לצד NVD ו-MITRE, השתמשו במסד הנתונים הייעוצי של GitHub, ב-OSV, במסד הנתונים של הפגיעויות של האיחוד האירופי המופעל על ידי ENISA, ו- CISקטלוג KEV של A. עבור ארגונים אירופאים תחת חובות דיווח של NIS2, DORA או CRA, מקור ראשוני שאינו אמריקאי הוא יותר ויותר שאלה של ממשל מאשר העדפה.
- השתמש בניקוד מודע להקשר: העשרת נתוני CVE עם KEV (פגיעויות ידועות שמנוצלות) ו EPSS (מערכת ניקוד חיזוי ניצול) כדי להבין טוב יותר את הסיכון
- אוטומציה עם Precisיון בניית אוטומציה שלא רק בולעת CVEs, אלא מיישמת לוגיקה המבוססת על שימוש, חשיפה וקריטיות
- צוותי פיתוח לחנך: מפתחים צריכים לדעת לא רק מהו CVE באבטחת סייבר, אלא גם כיצד לפרש ולפעול על סמך נתוני CVE בזרימות העבודה שלהם.
- תרומה לפתיחה Standards: ארגונים יכולים לסייע בשיפור אבטחת CVE על ידי הפיכה לרשויות מספור CVE (CNA) או תרומה למאגרי מידע פתוחים.
Lorem ipsum dolor לשבת amet, קונסקטטור adipiscing עלית. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
עתיד ה-CVE בעולם של DevSecOps
האתגרים של CVE באבטחת סייבר אינם אומרים שהמערכת מיושנת. מה שהם מאותתים הוא צורך באבולוציה. מנהיגי אבטחה ואנשי DevSecOps צריכים להבין את שני הדברים: את הכוח ואת המלכודות של אבטחת CVE כדי לבנות אסטרטגיה חסינת כדורים ומוכנה לעתיד.
בין אם באמצעות אוטומציה חכמה יותר, הקשר עשיר יותר של איומים או השתתפות במאמצי קהילה, הדרך קדימה תלויה בהכרה שמה שנקרא CVE באבטחת סייבר היא רק ההתחלה. המטרה האמיתית היא לבנות מערכות שעוברות מעבר לזיהוי להגנה בזמן אמת בהקשר.
כיצד Xygeni מחזקת את אבטחת CVE
קסיגני אינו מניח שרישומת ה-CVE תגיע בשלמותה או בזמן.
- קביעת סדרי עדיפויות שאינם תלויים בהעשרת NVD. ניתוח נגישות ברמת הפונקציה קובע האם הביצוע ביישום שלך אכן יכול להגיע לקוד הפגיע, מה שמפחית תוצאות חיוביות שגויות בעד 70%. זמינות ניצול לרעה, EPSS והקשר עסקי נמצאים לצד זה כשלבים הניתנים להגדרה במשפך קביעת עדיפויות, עד שמונה מהם. ממצא ללא ציון CVSS של NVD עדיין מדורג.
- כיסוי עבור מה שאין לו CVE. התרעה מוקדמת מפני תוכנות זדוניות מזהה חבילות זדוניות בעת הפרסום, לפני שקיימת חתימה או הודעת ייעוץ.
- תור אחד, הכולל כלים שכבר מפעילים. ASPM קולט ממצאים מסורקים של צד שלישי ומחיל עליהם את אותם מיון, הסבר ותיקון כמו על ממצאים מקוריים. אינך מחליף מחסנית כדי לקבל סדרי עדיפויות.
- תיקון עם השלכות גלויות. עבור כל תלות פגיעה, Xygeni מציג אילו פגיעויות השדרוג פותר, אילו חדשות הוא מציג, והאם קפיצת הגרסה שוברת את הקוד שלך, ואז פותח את... pull request.
- ראיות לתקנה. SBOM ופלט VDR ב-SPDX וב-CycloneDX, הארטיפקטים ש-CRA, NIS2 ו-DORA מבקשים.
סיכום: הבטחת אסטרטגיית הפגיעויות שלך לעתיד עם הגנה חכמה יותר מפני CVE
אבטחת CVE תישאר מרכזית במעקב אחר פגיעויות ותיאום בין צוותים, ספקים, וכלי ניהול פגיעויות. אין ספק בכך. אבל המערכת, כפי שהיא עומדת כיום, שברירית, רגישה לפערים במימון, עיכובים במשימות והקשר לא שלם. ההכרה במגבלות ה-CVE באבטחת סייבר היא הצעד הראשון לקראת ניהול פגיעויות עמיד וחכם יותר.
כמומחה אבטחה, עליך ללכת מעבר לשאלה פשוטה מהי CVE באבטחת סייבר. עליך להעריך כיצד הכלים, התהליכים והאנשים תלויים בה וכיצד לפתח את המערכות הללו. על ידי גיוון מקורות הנתונים, העשרת הקשר הפגיעויות ובניית אוטומציה המתחשבת בניואנסים, צוותי DevSecOps יכולים לחזק את יציבתם ולהגן טוב יותר על מה שחשוב באמת, כפי שאמרנו קודם.
מהי אבטחת CVE?
אבטחת CVE היא הפרקטיקה של מעקב, קביעת סדרי עדיפויות ותיקון פגיעויות באמצעות מזהי CVE, ה... standardמזהים ממוינים שהוקצו לפגמי תוכנה ידועים לציבור. CVE אינו מסד נתונים או ציון סיכון. זהו שם משותף המאפשר לסורקים, ניהול תיקונים, מודיעין איומים ודיווח תאימות להתייחס לאותה בעיה.
מדוע לחלק מ-CVEs אין ציון CVSS?
מכיוון שמאגר הפגיעויות הלאומי (NIST) כבר לא מעשיר כל רשומה. מאז אפריל 2026, NIST הוסיף ציוני חומרה ופרטי מוצר רק ל-CVEs העומדים בקריטריונים מוגדרים; השאר מתפרסמים אך מסומנים כבעלי העדיפות הנמוכה ביותר. כ-29,000 רשומות שנמצאו בפיגור סווגו מחדש כלא מתוכננות. ציון חסר פירושו שלא נותחו, ולא סיכון נמוך.
האם כל הפגיעויות מקבלות CVE?
לא. פגמים רבים בקוד פתוח לעולם אינם מקבלים קטגוריה כזו, ומחלקת איום שלמה נמצאת מחוץ למערכת מעצם עיצובה. חבילות זדוניות הן פריטים שפורסמו כדי לגרום נזק ולא טעויות בקוד לגיטימי, כך שאף אחד לא מגיש הודעת ייעוץ נגדן. בדרך כלל הן אינן נושאות CVE, אינן ניקוד ואין מזהה כלל.
