CVE סקאָרינג און CVE זיכערהייט זענען וויכטיג צו באַשיצן מאָדערנע ווייכווארג אַפּליקאַציעס פון אויפקומענדיקע סייבער טרעץ. אידענטיפיצירן און פּרייאָריטיזירן וואַלנעראַביליטיז עפֿעקטיוו אַלאַוז אָרגאַניזאַציעס צו אַדרעסירן די מערסט קריטישע ריסקס ערשטער. CVE סקאָרינג גיט אַ standardא מעטאד צו ראַנגירן וואַלנעראַביליטיז לויט ערנסטקייט, בשעת CVE זיכערהייט פּראַקטיקעס ענשור אַז די ריסקס זענען ריכטיק געראטן און פארמינערט.
אין קסנומקס, 48,185 CVEs זענען ארויסגעגעבן געוואָרן, א 20.6% פאַרגרעסערונג פון 2024'ס 39,962, און 38% זענען געווען ראַטעד הויך אָדער קריטיש שטרענגקייט. מיט באַנד גראָוינג אַזוי שנעל, האָבן אַ שטאַרק CVE סקאָרינג און זיכערהייט סטראַטעגיע איז ניט מער אָפּציאָנאַל; עס איז אַ נייטיקייט.
די גרעסערע פראבלעם איז נישט נאר די צאל, נאר אז טראדיציאנעלע אנאליזן קענען נישט מיטהאלטן דעם טאג דערמיט. NIST'ס NVD האט ענריטשט כמעט 42,000 CVEs אין 2025, 45% מער ווי יעדע פריערדיגע יאר, אבער דאס איז נאך אלץ נישט געווען גענוג צו מיטהאלטן מיטן וואקסנדיקן צאל אריינגעגעבענע דאטן. אלס א דירעקטער רעזולטאט, האבן נאר 28% פון ניי אנטפלעקטע CVEs אין 2025 באקומען פולע NVD ענריטשמענט (CVSS סקאר, CWE קלאסיפיקאציע, CPE דאטן), א שטארקע אראפגאנג פון 46.2% אין 2024. די ציפערן אונטערשטרייכן די וואקסנדיקע דרינגלעכקייט פאר ארגאניזאציעס צו האבן זייערע אייגענע CVE זיכערהייט מיטלען אין פלאץ, אנשטאט זיך פארלאזן נאר אויף NVD דאטן וואס קומען אן אין צייט.
וואָס איז CVE סקאָרינג און פאַרוואָס איז עס וויכטיק פֿאַר CVE זיכערהייט?
CVE שטייט פאר Common Vulnerabilities and Exposures, א ליסטע פון עפנטלעך ארויסגעגעבענע סייבער-זיכערהייט שוואכקייטן און עקספּאָוזשערז. יעדער איינטראגע אין דער CVE ליסטע באקומט א יוניק אידענטיפיצירער גערופן א CVE ID, וואס ספעציפיש באצייכנט א שוואכקייט. די MITRE קארפאראציע פירט דעם סיסטעם, standardאויסרעכענען ווי שוואַכקייטן ווערן אידענטיפיצירט און קאַטאַלאָגירט. דאָס גאַראַנטירט אַז יעדער אין סייבער-זיכערהייט ניצט די זעלבע רעפֿערענץ ווען מען דיסקוטירט ספּעציפֿישע סכנות.
CVE סקאָרינג באַשטייט פון עוואַלויִרן יעדן CVE איינטראַג און געבן אַ נומערישן סקאָר באַזירט אויף זיין ערנסטקייט. דער סקאָר העלפֿט אָרגאַניזאַציעס באַשטימען דעם פּריאָריטעט לעוועל פֿאַר אַדרעסירן די וואַלנעראַביליטי.
דאָס דערמעגלעכט זיי צו צוטיילן רעסורסן עפעקטיוו און פֿאַרמינדערן פּאָטענציעלע ריזיקעס. די CVE סקאָרינג סיסטעם עוואַלויִרט פֿאַקטאָרן ווי גרינגקייט פֿון עקספּלויטאַביליטעט. עס באַטראַכט אויך די השפּעה אויף קאָנפֿידענציאַליטעט, אָרנטלעכקייט און פֿאַרפֿיגבאַרקייט (אָפֿט באַצייכנט ווי די "CIA טריאַדע"). דערצו, עס עוואַלויִרט די פּאָטענציעל פֿאַר פֿאַרריכטונג.
ווי NVD, די MITRE CVE ליסטע, און CVE סקאָרינג אַרבעטן צוזאַמען
פֿאַרשטיין די פֿאַרבינדונג צווישן דער נאַציאָנאַלער וואַלנעראַביליטי דאַטאַבייס (NVD), די מיטרע ליסטע, און CVE זיכערהייט איז עסענציעל צו פארשטיין ווי שוואַכקייטן ווערן געראטן אין די סייבערזיכערהייט עקאָסיסטעם.
די MITRE CVE ליסטע הייבט זיך אן מיט אידענטיפיצירן שוואכקייטן און זיי צוטיילן א CVE ID. אבער, די ליסטע גיט נאר די גרונטלעכע אינפארמאציע וועגן יעדער שוואכקייט. די NVD, אפערירט דורך די נאַשאַנאַל אינסטיטוט פון Standardאון טעכנאָלאָגיע (NIST), באַרייכערט די דאַטן דורך צושטעלן דעטאַלירטע באַשרייַבונגען, רעפֿערענצן, און וויכטיקסטנס, CVE סקאָרינג דורך די פּראָסט וואַלנעראַביליטי סקאָרינג סיסטעם (CVSS).
NVD איז אַ שליסל רעסורס ווייַל עס דינט ווי אַ רעפּאָזיטאָרי פון standards-באזירטע וואַלנעראַביליטי דאַטן, וואָס העלפֿט אָרגאַניזאַציעס פֿאַרשטיין די השפּעה פֿון אַ וואַלנעראַביליטי מער קאָמפּרעהענסיוו. NVD כולל ניט בלויז CVSS סקאָרז, נאָר אויך טיפֿע אינפֿאָרמאַציע ווי:
- דעטאַילעד דיסקריפּשאַנז פון יעדער שוואַכקייט, אַרייַנגערעכנט טעכנישע פרטים און דעם קאָנטעקסט אין וועלכן די שוואַכקייט קען ווערן אויסגענוצט.
- אימפּאַקט מעטריקס וואָס ווײַזן ווי די וואַלנעראַביליטי קען אַפעקטירן פֿאַרשידענע טיילן פֿון אַן אָרגאַניזאַציעס סיסטעם.
- רעמעדיאַציע אינפֿאָרמאַציע ווי למשל לינקס צו פּאַטשאַז, אַדווייזעריז און מיטיגאַציעס.
צוליב איר ברייטן כאַראַקטער, איז די NVD די הויפּט מקור פֿאַר אָרגאַניזאַציעס ווען זיי דאַרפֿן צו אָפּשאַצן די פאַקטישע ווירקונג פֿון אַ שוואַכקייט און פֿאַרשטיין ווי אַזוי צו אַדרעסירן עס עפֿעקטיוו.
CVSS: די מערסטע געוויינטלעכע CVE סקאָרינג סיסטעם אין סייבערזיכערהייט
די מערסט גענוצטע מעטאָדע פֿאַר CVE סקאָרינג איז די פּראָסט וואַלנעראַביליטי סקאָרינג סיסטעם (CVSS), אויפגעהאלטן און אנטוויקלט דורך דעם פאָרום פון אינצידענט רעספּאָנס און זיכערהייט טימז (FIRST). CVSS גיט א standardא מעטאד פון מעסטן די ערנסטקייט פון שוואכקייטן, מאכנדיג עס גרינגער פאר ארגאניזאציעס צו פריאריטיזירן וועלכע צו אדרעסירן ערשט.
ספעציפיש, CVSS גיט א סקאר אויף שוואכקייטן אויף א סקאלע פון 0 ביז 10. דא, 0 רעפרעזענטירט קיין ריזיקע און 10 רעפרעזענטירט די העכסטע שטרענגקייט שטאפל. דערצו, די סקארינג איז באזירט אויף פיר הויפט מעטריק גרופעס:
באַזע כעזשבן:
דאָס שפּיגלט אָפּ די אינטרינסישע כאַראַקטעריסטיקס פון אַ שוואַכקייט וואָס זענען קאָנסטאַנט איבער צייט און אַריבער באַניצער סביבות. די באַזע כעזשבן נעמט אין באַטראַכט פאַקטאָרן ווי עקספּלויטאַביליטי. דאָס באַציט זיך צו ווי גרינג עס איז צו עקספּלויטן די שוואַכקייט. עס אויך עוואַלוירט די פּראַל אויף קאַנפאַדענשיאַלאַטי, אָרנטלעכקייט און פאַראַנען.
טעמפּאָראַל כעזשבן:
דאָס אַדזשאַסטירט די באַזע סקאָר באַזירט אויף פאַקטאָרן וואָס טוישן זיך איבער צייט, ווי צי אַ פאַרריכטן איז בנימצא אָדער צי אַן עקספּלויט ווערט אַקטיוו גענוצט. צייטווייליגע מעטריקס אַרייַננעמען עקספּלויט קאָד מאַטוריטי, רעמעדיאַטיאָן מדרגה, און באַריכט בטחון.
ענוויראָנמענטאַל כעזשבן:
דאָס ערלויבט אָרגאַניזאַציעס צו קאַסטאַמייזן די CVSS כעזשבן צו שפּיגלען די ווירקונג פון די וואַלנעראַביליטי אין זייער ספּעציפישער סביבה. עס נעמט אין באַטראַכט פאַקטאָרן ווי די וויכטיקייט פון די אַפעקטירטע סיסטעם און די פּאָטענציעלע קאַלאַטעראַלע שעדיקן.
צוגאב מעטרישע גרופע:
עס ווערט איינגעפירט אין CVSS v4.0 און גיט צוגעלייגטע קאנטעקסט וואס קען איינפלוסן די אלגעמיינע ריזיקע אפשאצונג. דאס נעמט אריין באטראכטונגען ווי זיכערהייט רעקווייערמענטס, אויטאמאטישע מעטריקס (וואס מעסטן ווי אויטאמאציע האט אן איינפלוס אויף אויסניצן), און אייגנארטיגע כאראקטעריסטיקס וואס פאסן אפשר נישט אריין אין די אנדערע מעטריק גרופעס. כאטש די אלגעמיינע CVSS סקאר נעמט נישט אריין די מעטריקס, געבן זיי ווערטפולע איינזיכטן. אלס רעזולטאט, העלפן זיי ארגאניזאציעס מאכן מער אינפארמירטע באשלוסן.cisגעדאנקען וועגן דעם פאַרוואַלטונג פון וואַלנעראַביליטיז.
די לעצטע ווערסיע, CVSS ווערסיע 4.0, שטעלט פאר די פארבעסערונגען צו פארבעסערן די גענויקייט און באניצלעכקייט פון וואַלנעראַביליטי סקאָרינג. דורך פארבעסערן די מעטריקס, כאַפּט CVSS v4.0 די קאָמפּלעקסיטי און קאָנטעקסט פון וואַלנעראַביליטיז מער עפעקטיוו. דאָס גאַראַנטירט אַז די סקאָרז צושטעלן אַ מער פאָרויסיקע ווייַזונג.cisא אָפּשפּיגלונג פֿון דעם פאַקטישן ריזיקע.
רעאל-וועלט ביישפּיל: CVE-2021-44228 (Log4Shell)
צו אילוסטרירן ווי CVE סקאָרינג אַרבעט אין פּראַקסיס, לאָמיר קוקן אויף CVE-2021-44228, באַקאַנט ווי Log4Shell. דאָס אַפּאַטשי לאָג4דזש 2 ביבליאָטעק וואַלנעראַביליטי ערלויבט פאר ווייטערע קאוד אויספירונג (RCE). אלס רעזולטאט, קען אן אטאקירער איבערנעמען קאנטראל פון אן אפעקטירטן סיסטעם.
- CVE אידענטיפיקאציע: CVE-2021-44228
- CVSS באַזע סקאָר: 10.0 (קריטיש)
- באַפאַלן וועקטאָר: נעץ (N) – אויסניצלעך פון ווייטנס.
- אטאקע קאמפלעקסיטעט: נידעריק (L) – גרינג צו אויסנוצן.
- פארלאנגטע פריווילעגיעס: קיין (N) – קיין פריווילעגיעס נישט נויטיג.
- באַניצער ינטעראַקשאַן: קיין (N) – קיין באַניצער אינטעראַקציע איז נישט פארלאנגט.
- פאַרנעם: געענדערט (C) – באַאיינפלוסט רעסורסן ווייטער פון זיין אָריגינעלן פאַרנעם.
- קאָנפֿידענציאַליטעט, אָרנטלעכקייט, פֿאַרפֿיגבאַרקייט השפּעה: הויך (H) – פולשטענדיקער קאָמפּראָמיס פון קאָנפֿידענציאַליטעט, אָרנטלעכקייט, און פֿאַרפֿיגבאַרקייט.
NVD האט געגעבן א CVSS כעזשבן פון 10.0, וואס ווייזט אויף דעם העכסטן שטאפל פון ערנסטקייט. די פארשפרייטע נאטור פון דעם שוואכקייט, צוזאמען מיט די גרינגקייט פון אויסניצן, האט עס געמאכט א הויפט פריאריטעט פאר פאררעכטונג איבער דער וועלט.
שוועריקייטן אין CVE סקאָרינג און זייער השפּעה אויף CVE זיכערהייט
בשעת די געוויינטלעכע שוואַכקייטן און עקספּאָוזשערז (CVE) סיסטעם אָפפערט אַ standardא מאָדערנער וועג צו ידענטיפיצירן און שפּורן וואַלנעראַביליטיז, עטלעכע לימיטאַציעס ווירקן זיין עפעקטיווקייט אין פאַרוואַלטונג פון ריסקס.
CVE-2021-44228 (Log4Shell) אילוסטרירט די שוועריקייטן:
- לימיטירטע דעטאלן וועגן עקספּלויטאַציע: CVE-2021-44228 גיט אן אייגנארטיגן אידענטיפיצירער אבער פעלט אויספירלעכע פרטים וועגן ווי אזוי אנפאלער קענען עס אויסניצן. כאטש עקספערטן האלטן עס פאר קריטיש, דערקלערט דער CVE איינטראג נישט אינגאנצן די גענויע מעטאדן וואס אנפאלער ניצן אדער די ספעציפישע קאנפיגוראציעס וואס פארגרעסערן די שוואכקייט. די ריס לאזט ארגאניזאציעס אומזיכער וועגן דעם ריזיקע אין דער רעאליטעט.
- וועריאַביליטי אין באריכטן: CVE רעקאָרדס זענען זייער אַנדערש אין אינהאַלט און קוואַליטעט. עטלעכע, ווי CVE-2021-44228, פאָרשלאָגן דעטאַלירטע באַשרייַבונגען און טעכנישע אינפֿאָרמאַציע, בשעת אַנדערע בלייבן קורץ אָדער אומפאַרענדיקט. די אומקאָנסיסטענץ שטעלט אַרויס אַ שוועריקייט פֿאַר אָרגאַניזאַציעס ווען זיי פּרוּוון צו אָפּשאַצן די ריזיקע פֿון אַ וואַלנעראַביליטי באַזירט בלויז אויף איר CVE איינטראַג.
- מאַנגל פון קאָנטעקסטואַלער רעלאַוואַנס: CVE איינטראגעס ניצן א standardפֿאָרמאַט וואָס קען נישט שפּיגלען דעם ספּעציפֿישן קאָנטעקסט פֿון פֿאַרשידענע סביבות. למשל, CVE-2021-44228 ווירקט אויף סיסטעמען אנדערש לויט א פירמע'ס אינפראַסטרוקטור. די אומרעכטע אויסשטעל פירט צו אומרעכטע ריזיקע אפשאצונגען אויב די CVE דעטאלן שטימען נישט מיט דער ספעציפישער סביבה.
- פארלענגערונג אין אפדעקונג: אָפט איז דאָ אַ פאַרהאַלטונג צווישן אַנטדעקן אַ שוואַכקייט און צולייגן עס צו דער CVE דאַטאַבייס. בעת דעם צייט-אונטערגאַנג קענען אַטאַקירער אויסנוצן שוואַכקייטן ווי... CVE-2021-44228 איידער זיי ווערן פובליק, וואס פארגרעסערט דעם ריזיקע צוליב פארשפעטיגונגען אין באוואוסטזיין און פאררעכטן.
- פאָקוס אויף באַקאַנטע שוואַכקייטן: CVE איינטראגעס דעקן נאר עפנטלעך ארויסגעגעבענע שוואכקייטן, וואס לאזט איבער נול-טאג שוואכקייטן און נישט-אויפגעגעבענע סכנות אומבארעכנט. זיך פארלאזן נאר אויף CVE שטעלט אויס אָרגאַניזאַציעס צו אויפקומענדיקע ריזיקעס וואָס די דאַטאַבייס האט נאָך נישט קאַטאַלאָגירט.
- נישט-קאנסיסטענטע קוואַליטעט פון איינטראַגעס: די קוואַליטעט פון CVE איינטראגעס ווערירן לויטן מקור. עטלעכע, ווי CVE-2021-44228, באַקומען רעגולערע דערהייַנטיקונגען מיט נײַע פרטים, בשעת אַנדערע בלייבן סטאַטיש, וואָס פירט צו אומקאָנסיסטענצן און מעגלעכע גאַפּס אין דאַטן.
- דער NVD ענריטשמענט באַקלאָג: אפילו נאכדעם וואס א CVE ווערט ארויסגעגעבן, איז נישטא קיין גאראנטיע אז עס וועט ווערן באלד באורטיילט. 54,914 CVE'ס פון 2024-2025 בלייבן אין דער NVD ריי און ווארטן אויף א פולע אנאליז. אין אפריל 2026, האט NIST געמאלדן אז עס וועט יעצט נאר געבן פריאריטעט צו אוממיטלבארע בארייכערונג פאר CVE'ס אין CISא'ס באקאנטע אויסגעניצטע וואַלנעראַביליטיעס (KEV) קאַטאַלאָג, ווייכווארג געניצט אין דער פעדעראלער רעגירונג, און קריטישע ווייכווארג ווי דעפינירט דורך עקסעקוטיוו אָרדער 14028. אַלץ אַנדערש איז ענריטשט אויף אַ בעסט-פאָרט באַזע, טייַטש רובֿ אָרגאַניזאַציעס קענען ניט מער אָננעמען אַז אַ CVSS כעזשבן וועט זיין בנימצא ווען זיי דאַרפֿן עס מערסטנס.
EPSS: פֿאַרבעסערן CVE זיכערהייט פֿאַר קאָמפּרעהענסיוו וואַלנעראַביליטי פאַרוואַלטונג
CVE-2021-44228 אויך אונטערשטרייכט וואו די פּראָסט וואַלנעראַביליטי סקאָרינג סיסטעם (CVSS), כאָטש שטאַרק, איז נישט גוט גענוג. דער חסרון אונטערשטרייכט די וויכטיקייט פון די עקספּלויט פּרעדיקשאַן סקאָרינג סיסטעם (EPSS).
וואָס איז EPSS?
אי.פּי.עס.עס. ניצט אַ דאַטן-געטריבן פריימווערק צו פאָרויסזאָגן די ליקעליהאָאָד פון עקספּלויטיישאַן פֿאַר וואַלנעראַביליטיז ווי CVE-2021-44228 אין די נעקסטע 30 טעג. נישט ווי CVSS, וואָס מעסט פּאָטענציעלע ווירקונג, אי.פּי.עס.עס. שאַצט די וואַרשיינלעכקייט פון עקספּלויטאַציע באַזירט אויף היסטאָרישע דאַטן און טרענדס.
פארוואס איז EPSS וויכטיג?
- פֿאַרבעסערטע פּריאָריטיזאַציע: אי.פּי.עס.עס. ערמעגליכט אָרגאַניזאַציעס צו פּריאָריטיזירן שוואַכקייטן באַזירט נישט נאָר אויף ערנסטקייט נאָר אויך אויף די ליקעליהאָאָד פון עקספּלויטאַציע. למשל, ווען זיכערהייט טימז וויסן אַז CVE-2021-44228 האט א הויכע ווארשיינליכקייט פון אויסניצן, פאקוסירן זיי זייערע רעמעדיאציע אנשטרענגונגען וואו זיי דארפן עס אממייסטנס.
- פּראָאַקטיווע פאַרטיידיקונג: אי.פּי.עס.עס. ערלויבט זיכערהייט טימז צו נעמען פאַרהיטנדיקע אַקשאַנז קעגן מסתּמא-צו-ווערן-אויסגעניצט וואַלנעראַביליטיז, און רעדוצירן דעם ריזיקירן פון געראָטענע אַטאַקעס.
- קאָנטעקסטואַל דעcisיאָן-מאכן: אי.פּי.עס.עס. גיט נאָך קאָנטעקסט וואָס CVSS אליין קען פארפעלן, ווי צום ביישפיל אידענטיפיצירן שוואכקייטן וואס ווערן אקטיוו געצילט דורך אנפאלער. דאס פירט צו מער אינפארמירטע און סטראטעגישע דעפארטמענטןcisיאָן-מאכן.
- מיטל אָפּטימיזאַטיאָן: פֿאַר אָרגאַניזאַציעס מיט באַגרענעצטע רעסורסן, אי.פּי.עס.עס. העלפט עפֿעקטיוו צוטיילן כוחות צו שוואַכקייטן וואָס שטעלן פֿאָר די גרעסטע סכּנה, און זיכערט אַ מער עפֿעקטיווע פֿאַרטיידיקונג סטראַטעגיע.
לימיטאַציעס פון EPSS
טראָץ זייַן אַדוואַנטידזשיז, אי.פּי.עס.עס. האט באגרענעצונגען. עס פארלאזט זיך אויף היסטארישע דאטן, וואס שפיגלען נישט שטענדיק אפ די יעצטיגע סכנה-לאנדשאפט. זיין קורץ-טערמין פאקוס אויף פאראויסזאגן אויסניצן אינערהאלב 30 טעג קען איבערקוקן לאנג-טערמין סכנות.
אי.פּי.עס.עס. גיט אַלגעמיינע איינזיכטן אָן צו רעכענען מיט דעם ספּעציפֿישן קאָנטעקסט פֿון יחידישע סביבות. צום סוף, עס איז אָפּהענגיק פֿון פֿאַרגאַנגענע עקספּלויטאַציע מוסטערן, וואָס קען נישט כאַפּן שנעלע ענדערונגען אין אַטאַק טעקניקס אָדער ניי אַנטדעקט וואַלנעראַביליטיז.
באַלאַנסירן CVE און EPSS פֿאַר אָפּטימאַל וואַלנעראַביליטי פאַרוואַלטונג
כּדי צו פאַרוואַלטן שוואַכקייטן עפֿעקטיוו, מוזן אָרגאַניזאַציעס פֿאַרשטיין און אַדרעסירן די לימיטאַציעס פֿון ביידע CVSS און אי.פּי.עס.עס.אינטעגרירן די מכשירים גיט א מער פולשטענדיגע בליק אויף די שוואכקייטן לאַנדשאַפט. די צוגאַנג באַלאַנסירט די ערנסטקייט מיט די מעגלעכקייט פון עקספּלויטאַציע, וואָס פירט צו בעסערע פּריאָריטיזאַציע, אינפאָרמירטע דעcisיאָן-מאכן, און פֿאַרבעסערטע סייבער-זיכערהייט רעזולטאַטן.
נעמט זיך אָן מיט דער אַרויסרופן פון פּריאָריטיזירן קריטישע שוואַכקייטן
דורכאויס דעם בלאָג, האָבן מיר אויסגעפאָרשט די קאָמפּלעקסיטעטן פון CVE סקאָרינג, די וויכטיקע ראָלע פון דער נאַציאָנאַלער וואַלנעראַביליטי דאַטאַבייס (NVD), און ווי מכשירים ווי די עקספּלאָיט פּרעדיקשאַן סקאָרינג סיסטעם (EPSS) לייגן טיפקייט צו וואַלנעראַביליטי פאַרוואַלטונג דורך פאָרויסזאָגן די ליקעליהאָאָד פון עקספּלויטיישאַן. אָבער, פאַרוואַלטן וואַלנעראַביליטיז עפעקטיוו ריקווייערז מער ווי נאָר פֿאַרשטיין די קאָנצעפּטן - עס פארלאנגט אַ קאָמפּרעהענסיוו צוגאַנג וואָס אַדאַפּט זיך צו דיין אָרגאַניזאַציע'ס ספּעציפֿישע זיכערהייט באדערפענישן.
אויס פון בעערעך 176,000 באַקאַנטע שוואַכקייטן, איבער 19,000 האבן א CVSS כעזשבן פון 9.0–10.0, וואס באדייט קריטישע ריזיקעס. אבער, די מערהייט—ארום 77.5%—פאלן אין א מיטל-קייט כעזשבן פון 4.0 ביז 8.0. די ברייטע פארשפרייטונג אונטערשטרייכט די שוועריקייט: פון פריאריטיזירן וועלכע שוואכקייטן צו אדרעסירן ערשט און ווי אזוי דאס צו טון מיט באגרענעצטע רעסורסן בשעת'ן אויפהאלטן א שטארקע פארטיידיגונג.
קסיגעני'ס ווייכווארג קאמפאזיציע אנאליז (SCA) די לייזונג אַדרעסירט דעם אַרויסרופן דורך אינטעגרירן CVE סקאָרינג מיט EPSS און אַנדערע קאָנטעקסטואַלע מכשירים, און גיט אײַך אַ פולשטענדיק בילד פון אײַער וואַלנעראַביליטי לאַנדשאַפט. אונדזער לייזונג סקענט גרינטלעך אײַער קאָדבאַזע איבער קייפל קוועלער, אַרײַנגערעכנט NPM, GitHub און OWD, און זאָרגט דערפֿאַר אַז איר פֿאַרפעלט נישט קיין פּאָטענציעלע זיכערהייט טרעץ.
ווי קסיגעני'ס SCA לייזונג פארוואנדלט CVE סקאָרינג אין אַקציע
פֿון די 48,185 CVEs וואָס זענען פאַרעפֿנטלעכט געוואָרן אין 2025, זענען 38% געווען באַצייכנט ווי הויך אָדער קריטיש ערנסטקייט, און דער דורכשניטלעכער CVSS כעזשבן פֿאַרן יאָר איז געווען 6.60. דאָס איז אַ סך "קריטיש" און "הויך" עטיקעטן וואָס קאָנקורירן פֿאַר די זעלבע באַגרענעצטע רעמעדיאַציע רעסורסן, און דאָס איז איידער מען נעמט אין באַטראַכט דעם פֿאַקט אַז בלויז 28% פֿון 2025 CVEs האָבן באַקומען פֿולע NVD באַרײַכערונג אין ערשטן אָרט.
קסיגעני'ס ווייכווארג קאמפאזיציע אנאליז (SCA) די לייזונג אַדרעסירט דעם אַרויסרוף דורך אינטעגרירן CVE סקאָרינג מיט EPSS און נאָך קאָנטעקסטואַלע סיגנאַלן, און גיט אײַך אַ פולשטענדיק בילד פֿון אײַער וואַלנעראַביליטי לאַנדשאַפֿט, אומאָפּהענגיק צי NVD האָט שוין געקענט באַרײַכערן אַ געגעבענע CVE. עס סקענט אײַער קאָדבאַזע אַריבער npm, GitHub, און אַנדערע אָפֿן-מקור רעגיסטריז, אַזוי גאָרנישט גייט דורך אומבאַמערקט.
דאָ איז ווי עס קאַמפּלעמענטירט דיין וואַלנעראַביליטי פאַרוואַלטונג סטראַטעגיע:
- CVE סקאָרינג + EPSS אינטעגראַציע. קאָמבינירן שטרענגקייט (CVSS) מיט עקספּלויטאַציע ליקעליהאָאָד (EPSS) מיינט אַז אייער מאַנשאַפֿט פֿאַרריכט וואָס ווערט טאַקע עקספּלויטירט אין דער ווילדער וועלט ערשט, נישט נאָר וואָס סקאָרט די העכסטע אויף פּאַפּיר.
- דערגרייכבאַרקייט אַנאַליז. Xygeni שטעלט זיך נישט אפ ביי "די CVE עקזיסטירט אין אייער דעפּענדענסי בוים." עס באַשטימט צי דער שוואַכער קאָד דרך איז טאַקע דערגרייכלעך אין אייער אַפּלאַקיישאַן, שניידנדיק ראַש דראַמאַטיש און פאָקוסירנדיק רעמעדיאַציע אויף עקספּלויטאַבל ריזיקירן.
- קאָנטעקסטואַלע וויסיקייט. דורך ציען פון קייפל עצה-קוועלער און סקאָרינג סיסטעמען אין איין מאָל, אַדאַפּט זיך Xygeni צו אייער אָרגאַניזאַציע'ס ספּעציפישע סביבה אַנשטאָט צו צולייגן אַן איין-גרייס-פּאַסט-אַלעמען ערנסטקייט סקאָר.
- קאָנטינויִערלעכע מאָניטאָרינג און רעאַל-צייט וואָרענונגען. נייע CVEs און נייע EPSS סקאָרס ווערן קעסיידער ארויסגעגעבן. Xygeni מאָניטאָרירט קעסיידער, אַזוי אַ שוואַכקייט וואָס איז געווען נידעריק-פּריאָריטעט נעכטן, און ווערט אַקטיוו אויסגענוצט הייַנט, גייט נישט אומבאַמערקט.
די רעזולטאטן: מיט איבער א דריטל פון נייע CVEs שוין באצייכנט הויך אדער קריטיש, און NVD ענריטשמענט פאלט ווייטער הינטער יעדעס יאר, איז מאנועל טריאַגע יעדע געפינס נישט רעאליסטיש. Xygeni העלפט אייער מאַנשאַפֿט פאָקוסירן אויף דעם קליינעם טייל וואָס איז ביידע ערנסט און באמת אויסניצלעך אין אייער סביבה.
בעטן אַ דעמאָ or אָנהייבן אַ פרייען צו זען ווי Xygeni פארוואנדלט CVE סקאָרינג אין א פּריאָריטיזירטע, אַקציאָנעלע וואַלנעראַביליטי פאַרוואַלטונג סטראַטעגיע.
FAQs
וואָס איז דער חילוק צווישן CVE, CVSS, און NVD?
א CVE איז אן איינציקער אידענטיפיצירער פאר א ספעציפישע שוואכקייט. CVSS (Common Vulnerability Scoring System) איז די סקאָרינג פריימווערק גענוצט צו ראטן די ערנסטקייט פון יענער שוואכקייט פון 0 ביז 10. די NVD (National Vulnerability Database) איז די רעפאזיטארי, געהאלטן דורך NIST, וואס בארייכערט יעדן CVE מיט זיין CVSS סקאָר, באשרייבונגען, און רעמעדיאציע רעפערענצן.
וואָס איז EPSS, און ווי איז עס אַנדערש פֿון CVSS?
EPSS (עקספּלויט פּרעדיקשאַן סקאָרינג סיסטעם) שאַצט די וואַרשיינלעכקייט אַז אַ וואַלנעראַביליטי וועט ווערן אויסגענוצט אין די קומענדיקע 30 טעג, באַזירט אויף פאַקטישע עקספּלויטיישאַן דאַטן. CVSS מעסט פּאָטענציעל שטרענגקייַט אויב אויסגענוצט; EPSS מעסט די likelihood פון אויסניצן. ניצן ביידע צוזאַמען גיט אַ פיל מער פּינקטלעכן פּריאָריטיזאַציע סיגנאַל ווי יעדעס אַליין.
פארוואס איז נישט א הויך איז CVSS גענוג צו געבן א פריאריטעט צו א שוואכקייט?
א CVSS סקאָר שפּיגלט אָפּ די טעאָרעטישע ערנסטקייט, נישט די פאַקטישע ריזיקע. א "קריטישע" 9.8-געשטיצטע וואַלנעראַביליטי וואָס איז נישט דערגרייכלעך אין אייער ספּעציפֿישער קאָדבאַזע, אָדער האט נישט קיין באַקאַנטע אַקטיווע עקספּלויטאַציע, קען זיין אַ נידעריקערע פּריאָריטעט ווי אַ "מיטלגרויסע" וואָס אַטאַקערס עקספּלויטירן אַקטיוו איצט. דעריבער איז וויכטיק צו פאַרבינדן CVSS מיט EPSS און דערגרייכבאַרקייט אַנאַליז.
וויפיל CVEs ווערן ארויסגעגעבן יעדעס יאר?
CVE באַנד איז קאָנסיסטענט געוואַקסן יאָר נאָך יאָר, מיט צענדליגער טויזנטער נייע וואַלנעראַביליטיז וואָס ווערן יערליך אַנטפּלעקט. געגעבן דעם מאָסשטאַב, איז מאַנועלע טריאַזש נישט רעאַליסטיש פֿאַר רובֿ אָרגאַניזאַציעס, וואָס איז פאַרוואָס אויטאָמאַטישע, קאָנטעקסט-באַוואוסטזיניקע פּריאָריטיזאַציע (CVSS + EPSS + דערגרייכבאַרקייט) איז געוואָרן וויכטיק.
וואָס איז CVE-2021-44228 (Log4Shell), און פאַרוואָס ווערט עס גענוצט ווי אַ בייַשפּיל?
Log4Shell איז אַ קריטישע ווײַטקאָד עקסעקוטיאָן וואַלנעראַביליטי אין Apache Log4j 2, סקאָרד 10.0 (די מאַקסימום) אויף CVSS. עס איז וויידלי געניצט ווי אַ לערנען בייַשפּיל ווייַל עס קאַמביינז נעץ-באזירט עקספּלויטאַביליטי, קיין פּריווילעגיעס פארלאנגט, און קיין באַניצער ינטעראַקשאַן, אילוסטרייטינג פּונקט ווי "קריטיש" קוקט אויס אונטער די CVSS פריימווערק.
