Pontos principais
- Um CVE é um identificador globalmente exclusivo para uma vulnerabilidade de software divulgada publicamente, permitindo que fornecedores, pesquisadores e especialistas em segurança se refiram a ela de maneira consistente.
- A abordagem de uma organização em relação à divulgação de vulnerabilidades — incluindo correções coordenadas, envolvimento de pesquisadores e inventário preciso de software — é um forte indicador da maturidade geral em segurança.
- A Commvault protege seus clientes por meio de um programa de CVE que se caracteriza pela transparência, regularidade e clareza. A divulgação de CVEs diz muito sobre a maturidade de um programa de segurança e engenharia.
Por que isso é importante
Many breaches that reach the boardroom trace back to vulnerability in software. The mechanism the entire industry uses to name and describe those vulnerabilities is the CVE, Common Vulnerabilities and Exposures.
How a vendor, or your own organization, handles CVEs is one of the clearest signals of security maturity.
A company that discloses and credits researchers fairly is usually a company that takes underlying engineering seriously. This blog explains how a CVE is built, who runs the system, and what separates an exemplary disclosure from a poor one.
Além do CVE: Por que a filosofia da divulgação é importante
A publicação de um CVE é o mínimo necessário. Os fatores que fazem a diferença são: transparência em relação à vulnerabilidade e à correção, verificações e aplicações de correções regulares, além de uma comunicação clara. A Commvault encara a divulgação como uma disciplina de engenharia e segurança, e não apenas como um requisito de conformidade a ser cumprido: estabelecer uma frequência para a revisão de código e correção de falhas, comunicar a correção em linguagem simples e proteger nossos clientes. Essa consistência, mais do que qualquer pontuação isolada, é o que a divulgação de CVEs revela sobre a maturidade em segurança.
O que é, na verdade, um CVE
A CVE is not a patch, a score, or a piece of malware. It is a dictionary entry that gives one specific, publicly known vulnerability a permanent, unique name so that everyone can refer to it.
The identifier itself follows a simple, durable format: the letters CVE, the year the ID was assigned, and a sequence number, for example, CVE-2021-44228.
The scale of the program is enormous, and still growing:48.000 CVEs foram publicados em 2025, a uma média de 132 por dia, o que representa um aumento de mais de 260% desde 2020.
A anatomia de um único registro
As publicações do CVE exigem um conjunto consistente de elementos. A leitura de uma delas é simples, desde que você saiba qual é a função de cada parte:
- Identifier, the unique CVE-YYYY-NNNNN
- Description, a concise explanation of the vulnerability: what it is and how a threat actor could exploit it.
- Affected products and versions, which software, hardware, or firmware (and which versions) are impacted, and which versions contain the fix.
- Criticality, the underlying category of criticality.
- References, links to the vendor advisory, the patch, and technical write-ups.
O elenco coadjuvante: CVSS, CWE, EPSS e KEV
Quatro sistemas complementares transformam um CVE em algo que uma empresa pode priorizar. É fácil confundir um com o outro, por isso vale a pena ter essa distinção em mente:
- CVSS (Common Vulnerability Scoring System) answers “How severe is it?” CVSS is the severity rating (1–10, 10 being the most severe) of the flaw, not a measurement of your specific exposure.
- EPSS (Exploit Prediction Scoring System) answers “How likely is this to be exploited soon?” EPSS produces a probability score, from zero to 100 percent, estimating the likelihood that a vulnerability will be exploited in the next 30 days.
- CWE (Common Weakness Enumeration) answers “What kind of mistake caused it?” The CWE classifies the underlying coding weakness.
- KEV (Known Exploited Vulnerabilities) answers “Is it being used against people right now?” The KEV catalog is a curated list of CVEs with confirmed real-world exploitation.
Uma pontuação alta no CVSS indica o grau de gravidade de uma vulnerabilidade; uma pontuação alta no EPSS indica a rapidez com que ela provavelmente será explorada; e a inclusão no catálogo KEV confirma que a exploração já está ocorrendo. Os melhores programas de gerenciamento de vulnerabilidades levam em consideração esses três fatores.
Perguntas frequentes
Q: What is a CVE, and why is it important?
A: A Common Vulnerability and Exposure (CVE) is a standardized identifier assigned to a publicly disclosed software vulnerability. It enables everyone – from vendors and researchers to regulators and customers – to refer to the same vulnerability without ambiguity.
Q: What information should a well-formed CVE record contain?
A: A complete CVE record requires a unique identifier, a description of the vulnerability, affected products and versions, the criticality type, and references to vendor advisories or patches. These elements enable organizations to understand their exposure and respond efficiently.
Q: How do CVSS, CWE, EPSS, and KEV differ from a CVE?
A: A CVE identifies a specific vulnerability, while CVSS measures its severity, EPSS estimates the likelihood of near-term exploitation, CWE classifies the underlying coding weakness, and KEV identifies vulnerabilities that are actively exploited in the real world. Together, these frameworks help provide the context needed to prioritize remediation.
Q: What does Commvault look for in its own disclosure practices?
A: Commvault holds its own disclosures to the same standard it expects of others: transparency, cadence and clarity. That is how Commvault protects its customers.
Q: What should business leaders evaluate when assessing vendors’ vulnerability management practices?
A: Leaders should look for coordinated disclosure timelines, comprehensive and accurate CVE records, clear remediation guidance, robust reporting programs, and the ability to quickly determine whether products are affected by newly disclosed vulnerabilities. These characteristics reflect a strong security culture and improve organizational resilience.Werner Nel is Principal Product Experience Manager at Commvault.