Bevor es CVEs gab, gab jeder Hersteller, jeder Virenscanner und jedes Sicherheitsbulletin derselben Lücke einen eigenen Namen, was Vergleiche fast unmöglich machte. Das CVE-Programm hat die Aufgabe, öffentlich bekannte Sicherheitslücken zu identifizieren, zu beschreiben und zu katalogisieren, mit genau einem Eintrag pro Lücke. Eine CVE ist also weder eine Bewertung des Schweregrads noch ein Beweis für eine Ausnutzung: Sie ist ein gemeinsamer Name, den alle zitieren können.
So liest du eine CVE-Kennung
Eine Kennung besteht aus dem Präfix CVE, einer Jahreszahl und einer Nummer, zum Beispiel CVE-2024-4577 (die PHP-CGI-Lücke unter Windows) oder CVE-2023-3460 (eine Schwachstelle im Plugin Ultimate Member). Das Jahr entspricht in der Regel dem Zeitpunkt, zu dem die Kennung reserviert wurde, nicht unbedingt dem, zu dem die Lücke in den Code kam. Die Nummer hat keine besondere Bedeutung, und ihre Länge variiert.
Jeder Eintrag enthält eine Beschreibung, die betroffenen Produkte und Versionen, Referenzen (Hinweis des Herstellers, Analyse des Forschers) und oft einen CVSS-Score, der den Schweregrad einschätzt, dazu einen Schwachstellentyp (CWE).
Wer CVEs vergibt
Das Programm wird von der US-Behörde CISA gefördert. Die Kennungen stammen aber nicht alle von einer zentralen Stelle: Sie werden von CNAs (CVE Numbering Authorities) vergeben, Partnerorganisationen, die Lücken in ihrem Zuständigkeitsbereich nummerieren dürfen. Das PHP-Team zum Beispiel hat CVE-2024-4577 vergeben. Im WordPress-Umfeld sind mehrere Sicherheitsfirmen CNAs, darunter Wordfence, WPScan und Patchstack: Sie veröffentlichen den Großteil der CVEs zu Plugins und Themes.
Ein Eintrag durchläuft mehrere Zustände. Zuerst ist er reserviert (RESERVED), während der Fix vorbereitet wird, ohne öffentliche Details, dann veröffentlicht (PUBLISHED). Bei CVE-2024-4577 stammt die Reservierung vom 6. Mai 2024 und die Veröffentlichung vom 9. Juni 2024. Eine irrtümlich oder doppelt vergebene Kennung kann außerdem abgelehnt werden (REJECTED).
CVE, NVD, KEV: wer macht was
- CVE: der Katalog der Kennungen und Beschreibungen.
- NVD (National Vulnerability Database des NIST): eine Datenbank, die CVEs mit CVSS-Scores, CWE-Kategorien und der Liste der betroffenen Produkte anreichert. Seit 2024 hinkt ihre Bearbeitung hinterher, deshalb sind spezialisierte Datenbanken wichtig.
- KEV (CISA): der Katalog der CVEs, die nachweislich in freier Wildbahn ausgenutzt werden, hilfreich, um zu entscheiden, was du zuerst behebst.
In WordPress: CVEs im Alltag nutzen
Für Website-Betreiber liegt der Wert einer CVE darin, dass sie eine Warnung mit einer genauen Version verknüpft: „Plugin X bis einschließlich Version 2.6.6, behoben in 2.6.7.“ Du musst nur noch mit der installierten Version vergleichen. Überwachungstools erledigen das automatisch; die Schwachstellenwarnungen von WP Masquerade Pro zum Beispiel prüfen jeden Tag die installierten Plugins, Themes und die WordPress-Version, mit Schweregrad und behobener Version. Wie du Quellen auswählst und deine Überwachung organisierst, erklärt dieser Leitfaden zur Überwachung.
Auch der WordPress-Core bekommt CVEs, die meist mit automatisch eingespielten Minor-Releases behoben werden: die Geschichte der Core-Sicherheitsfixes seit 2020 gibt einen Überblick. Auf Serverseite kann eine CVE auch PHP selbst betreffen, wie die PHP-CGI-Lücke von 2024, und dann muss der Hoster handeln.
Häufige Fehler
- Annehmen, „keine CVE“ bedeute „keine Schwachstelle“: Viele Lücken in Premium- oder Nischen-Plugins bekommen nie eine Kennung, und eine Zero-Day-Lücke hat noch keine.
- Eine CVE mit dem Schweregrad verwechseln: Die Kennung sagt nichts über die Gefahr aus; entscheidend sind der Score und der Kontext.
- Sich auf eine einzige Datenbank verlassen: Veröffentlichungsfristen und Abdeckung unterscheiden sich von Quelle zu Quelle.