CVE staat voor Common Vulnerabilities and Exposures. Het is een wereldwijd register waarin elke publiek bekende kwetsbaarheid in software of hardware een uniek nummer krijgt, bijvoorbeeld CVE-2026-1234. Dat nummer is niets meer dan een label, maar wel een heel handig label: leveranciers, beveiligingsonderzoekers en beheerders weten daarmee zeker dat ze het over precies hetzelfde lek hebben. Bij een CVE hoort meestal een CVSS-score van 0 tot 10 die aangeeft hoe ernstig het probleem is.
Voor jou als ondernemer is een CVE-nummer vooral een praktisch hulpmiddel. Als er in het nieuws iets over een lek in een firewall, mailserver of veelgebruikte software voorbijkomt, kun je met dat ene nummer aan je IT-partij vragen: "raakt dit ons, en is het bij ons al gedicht?" Dat is een concretere vraag dan "zijn we veilig?" en levert een concreter antwoord op. Ook je verzekeraar of een auditor kan naar CVE’s verwijzen.
In de praktijk gaat het meestal zo: een onderzoeker meldt een lek bij de leverancier, die krijgt tijd om een patch te maken, en daarna wordt de CVE openbaar. Vanaf dat moment gaat de klok lopen — aanvallers lezen dezelfde lijsten. Een lek dat al misbruikt wordt vóórdat er een patch is, heet een zero-day. Zorg daarom dat er een vast patchritme is, dat kritieke updates buiten dat ritme om versneld kunnen, en dat iemand daadwerkelijk de meldingen van je leveranciers volgt.
Wat OkayICT hierin doet: we volgen de kwetsbaarheidsmeldingen voor de software en apparatuur die jij gebruikt, en rollen kritieke patches versneld uit.
Meer lezen: Wat is een kwetsbaarheid? · Wat is een patch? · Wat is een zero-day?
