CVE

angolul: Common Vulnerabilities and Exposures

haladóelterjedt

A CVE a nyilvánosan ismert informatikai biztonsági rések nemzetközi jegyzéke, amelyben minden rés egyedi azonosítót kap, hogy mindenki ugyanarról a hibáról beszéljen.

Érthetően

Képzeld el, hogy az autógyártók visszahívási listát vezetnek: minden gyári hibának van egy sorszáma, és a szerelő, a kereskedő meg a tulajdonos is erre hivatkozik. A CVE ugyanez az informatikában. Minden nyilvánosan ismert biztonsági rés kap egy azonosítót, például CVE-2021-44228: ebben az évszám azt mutatja, mikor osztották ki az azonosítót, utána pedig egy sorszám áll.

Közös nyelvet ad. Azonosító nélkül az egyik cég „a naplózó hibájának”, a másik „Log4Shellnek” hívná ugyanazt a rést, és senki sem tudná biztosan, hogy a kiadott javítás melyikre vonatkozik. A CVE-számmal a gyártó, a vírusirtó, a rendszergazda és az újságíró is ugyanarra a hibára mutat.

A CVE nem javítja ki a hibát, és nem is védekezik ellene: ez csak egy nyilvántartás. Azt mondja meg, hogy a hiba létezik és mit érint. Azt, hogy mennyire súlyos, és mit kell tenned, más rendszerek és a gyártó közleményei adják hozzá.

Az AI korában azért kerül elő egyre többször, mert a kódoló agentek és a biztonsági AI-eszközök ebből a jegyzékből ellenőrzik, hogy egy program tartalmaz-e ismert rést. Közben maguk az AI-eszközök is kapnak CVE-számot, ha hibát találnak bennük.

Hogyan működik

Valaki (kutató, gyártó vagy egyre gyakrabban egy AI-agent) biztonsági rést talál egy szoftverben, és bejelenti.
Egy erre feljogosított szervezet, az úgynevezett CNA (jellemzően maga a gyártó vagy egy biztonsági cég) lefoglal a hibának egy CVE-azonosítót.
A hiba rövid leírása, az érintett termékek és verziók, valamint a hivatkozások bekerülnek a nyilvános jegyzékbe, többnyire akkor, amikor a javítás is elkészült.
A súlyossági pontszámot (CVSS) gyakran már az azonosítót kiosztó szervezet megadja. Más adatbázisok, például az amerikai NVD, további részletekkel egészítik ki a bejegyzést, de az NVD 2024 óta jelentős lemaradással küzd.
A biztonsági szoftverek és a kódoló agentek ezt az adatot vetik össze a gépeden vagy a cégednél futó programokkal, és jeleznek, ha frissítened kell.

Példa a mindennapokból

A telefonod frissítést kér, és a leírásban azt olvasod: „biztonsági javítások: CVE-2026-…”. Ez azt jelenti, hogy a gyártó egy nyilvánosan nyilvántartott rést foltozott be. A szám alapján bárki utánanézhet, mi volt a baj.

Kit érint

fejlesztőA programodba épített külső csomagok ismert réseit CVE-szám alapján jelzik az ellenőrző eszközök és a kódoló agentek, és neked kell eldöntened, mit frissítesz. → Kód

vállalkozó, vezetőA céged rendszereinek kockázatát és a frissítések sürgősségét gyakran CVE-k alapján mérik, és a biztonsági előírások, auditok is ezekre hivatkoznak.

mindenkiHa a hírekben egy CVE-számmal emlegetett hibáról hallasz, az gyakran a te telefonodat, routeredet vagy böngésződet is érinti, és a frissítés a teendőd.

Gyakori félreértés

TévhitHa egy szoftverhez nincs CVE, akkor biztonságos.

ValójábanA jegyzék csak a bejelentett és nyilvánosságra hozott hibákat tartalmazza. A még fel nem fedezett vagy titokban tartott rések (például a nulladik napi sebezhetőségek) nincsenek benne.

Korlátok és kockázatok

A CVE-szám önmagában nem árulja el, mennyire veszélyes a hiba: egy alig kihasználható apróság és egy világméretű vészhelyzet ugyanolyan formájú azonosítót kap.
A bejegyzések minősége és frissessége egyenetlen. Évente több tízezer új tétel születik, és a részletes elemzésük gyakran hónapokat késik.
A rendszer működése nagyrészt egyetlen amerikai állami finanszírozási szerződésen múlik. Ez 2025 áprilisában kis híján lejárt, ami komoly bizonytalanságot okozott.
Az AI-rendszerek sajátos gyengeségei, például a megtévesztő utasítások becsempészése, nehezen illeszthetők a hagyományos, szoftverhibára szabott CVE-keretbe.

Hasonló, de nem ugyanaz

CVSS – A CVE azonosítja a hibát, a CVSS pedig egy 0-tól 10-ig terjedő pontszám, amely a súlyosságát becsüli.
CWE – A CWE a hibatípusok katalógusa (például „hiányzó bemenet-ellenőrzés”), a CVE viszont egy konkrét termék konkrét hibáját jelöli.
Nulladik napi sebezhetőség – A nulladik napi rés olyan hiba, amelyről a gyártó még nem tud, vagy amelyre még nincs javítás, miközben a támadók már kihasználhatják. Ilyenkor gyakran CVE-száma sincs még; később rendszerint kap.

Kapcsolódó fogalmak

Tágabb

Kiberbiztonság, Sebezhetőségkezelés

Szűkebb

CVE-azonosító, CNA (számkiosztó szervezet)

Rokon

CVSS, CWE, Nulladik napi sebezhetőség, Biztonsági frissítés, Szoftver-ellátásilánc

Röviden a története

A CVE-jegyzéket 1999-ben indította el az amerikai MITRE nonprofit kutatószervezet, hogy a különböző biztonsági eszközök és gyártók egységesen hivatkozhassanak ugyanarra a hibára. A programot az amerikai kormányzat finanszírozza, jelenleg a kiberbiztonsági ügynökségen, a CISA-n keresztül. A szerződés 2025 áprilisában kis híján lejárt, a CISA az utolsó pillanatban hosszabbította meg.

Hol tart most

A CVE 2026 végén is a sebezhetőségek világszerte használt hivatkozási alapja. Mellette párhuzamos megoldások is működnek: az EU saját adatbázisa, az EUVD 2025-ben indult (uniós jogszabály, a NIS2 irányelv alapján), a 2025-ös finanszírozási bizonytalanság pedig független kezdeményezéseket hívott életre, például a CVE Foundation alapítványt. Az AI-agentek által talált hibák növekvő száma egyre jobban terheli a rendszert.

Állapot: 2026. november

A hírekben

3 Agent Age-sztoriban fordul elő; a görbe a hírmagazin heti előfordulása.

Kritikus sandbox-szökés a DeepSeek Harness nyílt forráskódú kódolóagentben (CVE-2026-82533)2026. szept. 8. · Kód
Az AI-generált sebezhetőségi javítások háromnegyede elront valamit, a Veracode 44%-ot mér2026. aug. 3. · Kód
AI-szemét tölti a CVE-folyamatot: hamis SQLite-sebezhetőségeket jelentettek2026. aug. 3. · Kód

Más nevei

CVE · CVE-azonosító · CVE-szám · CVE ID · CVE-bejegyzés · Common Vulnerabilities and Exposures · közös sebezhetőségek és kitettségek · CVE-lista

Források

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.