Che differenza c'è fra CVE e CVSS?

La CVE è il nome della falla: un identificativo univoco che permette a tutti di riferirsi alla stessa vulnerabilità. Il CVSS è un punteggio da 0 a 10, definito dal FIRST, che ne misura la gravità tecnica. Una CVE può avere più punteggi CVSS, attribuiti da soggetti diversi, e il punteggio di base va adattato al contesto di chi lo usa.

Una delle CVE Numbering Authority (CNA) autorizzate dal programma CVE: produttori di software, progetti open source, team pubblici di risposta agli incidenti e altre organizzazioni, ciascuna per il proprio perimetro. In Europa anche ENISA è una CNA dal gennaio 2024.

Una CVE con punteggio 10 va sempre chiusa per prima?

No. Il punteggio dice quanto è grave la falla in astratto, non se qualcuno la sta sfruttando né se il sistema colpito è esposto. Per decidere l'ordine degli interventi servono anche lo sfruttamento reale, registrato dal catalogo KEV della CISA, e l'esposizione del sistema: è compito del patch management.

Cos'è una CVE e perché non dice quanto è urgente una falla?

Una CVE è l'identificativo pubblico e univoco, nella forma CVE-anno-numero, che il programma CVE assegna a una falla divulgata: un nome, non una priorità.

Una CVE (Common Vulnerabilities and Exposures) è l'identificativo pubblico e univoco assegnato a una vulnerabilità informatica nota, cioè a un difetto di un software o di un dispositivo che un attaccante può sfruttare. Ha la forma CVE-anno-numero, per esempio CVE-2021-44228, e funziona come il codice fiscale della falla: fornitori, strumenti di scansione e reparti IT sanno così di parlare della stessa cosa. Il catalogo è tenuto dal programma CVE, finanziato dall'agenzia statunitense per la cybersicurezza CISA e gestito dall'ente senza scopo di lucro MITRE. Gli identificativi li assegnano centinaia di organizzazioni autorizzate, le CVE Numbering Authority (CNA), fra cui produttori di software, progetti open source e team pubblici di risposta agli incidenti, ciascuna per il proprio perimetro. Un record pubblicato contiene l'identificativo, il prodotto colpito, una descrizione e almeno un riferimento pubblico. Per sua natura, non contiene un giudizio su quanto la falla sia urgente per una specifica azienda.

Leggi anche: Patch management (gestione degli aggiornamenti) · Il processo con cui un'azienda scopre, prioritizza, testa e installa gli aggiornamenti di sicurezza dei propri sistemi, misurato in giorni di esposizione.

Cosa non dice una CVE

L'errore più costoso è scambiare una CVE per una priorità: perfino l'anno nel nome, precisa il programma CVE, indica quando l'ID è stato riservato o la falla resa pubblica, non quando è stata scoperta. Quanto conta la falla lo dicono altre tre fonti. La gravità tecnica è il punteggio CVSS (Common Vulnerability Scoring System) del FIRST, il forum mondiale dei team di sicurezza. Nella versione 4.0 va da 0 a 10 e descrive lo scenario peggiore plausibile; la specifica stessa chiede di adattare il punteggio al contesto di chi lo usa. Dello sfruttamento reale tiene traccia il catalogo KEV della CISA, che accoglie solo falle con una CVE e prove affidabili di attacchi, ed è il riferimento per stabilire le priorità nel patch management. La probabilità di sfruttamento nei prossimi 30 giorni la stima ogni giorno l'EPSS, un modello statistico anch'esso del FIRST.

Un sistema più fragile di quanto sembri

Molti strumenti ricavano le CVE dal National Vulnerability Database (NVD) del NIST, che le arricchisce con punteggi e prodotti colpiti. Il NIST ha riconosciuto un arretrato che si accumula dall'inizio del 2024 e non è mai stato smaltito, mentre fra il 2020 e il 2025 le segnalazioni sono cresciute del 263%. Dal 15 aprile 2026 il NIST dà la precedenza alle CVE del catalogo KEV, del software usato dal governo federale e di quello critico, e rimanda le altre a data da destinarsi. L'Europa ha un aggregatore proprio, la banca dati europea delle vulnerabilità (EUVD) di ENISA, prevista dalla direttiva NIS2 e operativa dal 13 maggio 2025: affianca le CVE agli avvisi dei team nazionali, senza sostituirle.

Un esempio enterprise

Un'azienda manifatturiera riceve dallo scanner quattrocento CVE aperte, ordinate per punteggio CVSS. Il reparto IT parte dall'alto e dedica due settimane alle falle da 9 e 10 di librerie non raggiungibili dall'esterno, mentre una falla da 7,5 già nel catalogo KEV resta aperta sul server VPN. La domanda giusta era un'altra: quali CVE riguardano componenti che l'azienda usa davvero, esposti e già sfruttati. Per rispondere serve una SBOM, l'inventario dei componenti di ogni software: senza di essa, ogni nuova CVE costringe a una ricerca manuale.

Perché conta per chi decide

La CVE è il vocabolario comune della sicurezza, non il metro di giudizio. Conviene chiedere ai fornitori le CVE dei loro prodotti insieme all'inventario dei componenti, e report ordinati per sfruttamento ed esposizione, non solo per CVSS. Chi fabbrica prodotti con elementi digitali per il mercato UE ha poi un obbligo: dall'11 settembre 2026 l'articolo 14 del Cyber Resilience Act impone un preallarme entro 24 ore da quando il fabbricante viene a conoscenza di una vulnerabilità attivamente sfruttata nel proprio prodotto, anche se per quella falla non è ancora stata pubblicata alcuna CVE.