Punti chiave
- Un CVE è il codice pubblico che identifica una vulnerabilità nota (formato CVE-anno-numero); lo assegnano le CNA, 559 da 43 paesi a ottobre 2026 secondo cve.org.
- Il CVSS, mantenuto da FIRST, dà un punteggio di gravità da 0 a 10: bassa fino a 3.9, media da 4.0, alta da 7.0, critica da 9.0. La versione corrente è la 4.0, la 3.1 resta in uso.
- Il CVSS misura la gravità tecnica, non il rischio: il punteggio pubblico è di norma solo il Base, e contesto ed esposizione li aggiunge chi usa il sistema.
- Dal 15 aprile 2026 la NVD del NIST arricchisce in via prioritaria i CVE del catalogo KEV e del software critico: molti altri CVE restano senza punteggio NVD.
- Per le priorità si combinano KEV (sfruttamento confermato), EPSS (probabilità di sfruttamento a 30 giorni) e CVSS, applicati agli asset che hai davvero.
Un CVE (Common Vulnerabilities and Exposures) è il codice pubblico che identifica una singola vulnerabilità nota, per esempio CVE-2021-44228, così che produttori, scanner e team di sicurezza parlino della stessa falla. Il CVSS (Common Vulnerability Scoring System) è il punteggio da 0 a 10 che ne descrive la gravità tecnica. Il CVE dice quale vulnerabilità, il CVSS quanto è grave. Nessuno dei due, da solo, dice cosa aggiornare per primo.
Qui vediamo chi assegna i CVE, come si legge il CVSS 3.1 e 4.0, cosa aggiungono NVD, EPSS e il catalogo KEV, e come usarli per l'ordine delle patch.
Cos'è un CVE
Il programma CVE ha il compito di identificare, definire e catalogare le vulnerabilità di cybersecurity divulgate pubblicamente. Per ogni vulnerabilità del catalogo esiste un solo CVE Record. Il programma è sponsorizzato dalla CISA, l'agenzia statunitense per la cybersecurity; il Secretariat, che gestisce infrastruttura e supporto amministrativo, è oggi MITRE, e la direzione strategica spetta al CVE Board.
Il codice ha sempre la stessa forma: il prefisso CVE, un anno e un numero progressivo di almeno quattro cifre. L'anno è quello in cui l'identificativo è stato riservato o la vulnerabilità resa pubblica, non quello della scoperta. Ogni record pubblicato contiene almeno:
- l'identificativo CVE;
- una breve descrizione della vulnerabilità;
- i prodotti e le versioni interessati;
- i riferimenti pertinenti, come advisory e segnalazioni.
Il percorso: chi scopre la vulnerabilità la segnala a un partner del programma, che assegna l'identificativo in stato Reserved finché la falla non può essere resa pubblica, poi completa i dati e pubblica il record (Published). Un codice che non va più usato diventa Rejected ma resta nell'elenco, perché chi lo incontra sappia che non è valido.
Un CVE non è un giudizio di gravità: che il programma assegni punteggi di severità è uno dei miti che cve.org stesso smentisce.
Chi assegna i CVE: le CNA
I codici non li assegna un ufficio centrale. Li assegnano le CNA (CVE Numbering Authority): produttori di software, ricercatori, progetti open source, CERT, piattaforme di bug bounty e consorzi autorizzati dal programma a pubblicare record nel proprio perimetro. Per diventarlo non si paga e non si firma un contratto. Secondo la pagina delle metriche di cve.org, a ottobre 2026 le CNA sono 559, da 43 paesi.
Sopra le CNA c'è una gerarchia: due Top-Level Root, CISA e MITRE, e sotto di loro alcuni Root, tra cui l'agenzia europea ENISA. Accanto alle CNA lavorano gli ADP (Authorized Data Publisher), che arricchiscono i record con informazioni aggiuntive, per esempio punteggi di rischio, riferimenti e traduzioni.
I volumi spiegano perché serve un metodo per scegliere: sempre secondo cve.org, i record pubblicati sono stati 40.077 nel 2024 e 48.244 nel 2025.
Cos'è il CVSS e come si legge il punteggio
Il CVSS è un framework aperto mantenuto da FIRST, organizzazione non profit che riunisce i team di risposta agli incidenti di tutto il mondo. La versione corrente è la 4.0, rilasciata a novembre 2023; la 3.1 resta in uso, e NVD, il database del NIST di cui parliamo sotto, le supporta entrambe. Dal 13 luglio 2022 NVD non calcola più punteggi CVSS 2.0 per i nuovi CVE.
Il punteggio va da 0 a 10 e la specifica lo traduce in cinque fasce, uguali nella 3.1 e nella 4.0:
- Nessuna (None): 0.0
- Bassa (Low): da 0.1 a 3.9
- Media (Medium): da 4.0 a 6.9
- Alta (High): da 7.0 a 8.9
- Critica (Critical): da 9.0 a 10.0
Accanto al numero c'è sempre il vettore, una stringa che riassume le scelte da cui il numero deriva. Per CVE-2021-44228 (Log4Shell) è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: sfruttabile da rete, con bassa complessità, senza privilegi né interazione dell'utente, con impatto alto su riservatezza, integrità e disponibilità. Il vettore dice più del numero: un 7.5 raggiungibile da internet senza credenziali e un 7.5 che richiede accesso locale sono problemi diversi.
Cosa cambia con il CVSS 4.0
La specifica 4.0 organizza le metriche in quattro gruppi:
- Base: le caratteristiche intrinseche della vulnerabilità, che non cambiano nel tempo né da un'azienda all'altra;
- Threat: ciò che cambia nel tempo, come la disponibilità di codice proof of concept o lo sfruttamento attivo (nella 3.1 era il gruppo Temporal);
- Environmental: ciò che dipende dal tuo ambiente, come le mitigazioni presenti e la criticità del sistema vulnerabile;
- Supplemental: informazioni di contesto che non modificano il punteggio.
La 4.0 chiede anche di dichiarare quali gruppi sono stati usati: CVSS-B (solo Base), CVSS-BT, CVSS-BE, CVSS-BTE. Conta, perché secondo la specifica chi mantiene il prodotto e NVD forniscono di norma solo il Base, mentre Threat ed Environmental spettano a chi usa il sistema. Il Base, da solo, viene calcolato assumendo la gravità massima per le metriche Threat ed Environmental.
CVSS score: cosa misura e cosa no
NVD lo scrive senza giri di parole: il CVSS è una misura qualitativa della gravità e non è una misura del rischio. FIRST aggiunge che obblighi normativi, clienti coinvolti, perdite economiche o impatto reputazionale stanno fuori dal CVSS e vanno valutati da ogni organizzazione. C'è poi un effetto da conoscere: quando un produttore pubblica una vulnerabilità senza dettagli, NVD assegna i valori nello scenario peggiore, fino a 10.0.
NVD ed EUVD: dove si arricchiscono i CVE
La NVD (National Vulnerability Database) del NIST prende i record CVE e li arricchisce con punteggi CVSS, categorie di debolezza (CWE) ed elenchi dei prodotti interessati (CPE).
Il 15 aprile 2026 il NIST ha cambiato il modo di lavorare della NVD. Le segnalazioni di CVE sono cresciute del 263% tra il 2020 e il 2025, e nonostante circa 42.000 CVE arricchiti nel 2025 l'arretrato accumulato dall'inizio del 2024 non è stato smaltito. Da quella data:
- la NVD arricchisce in via prioritaria i CVE presenti nel catalogo KEV della CISA (con l'obiettivo di farlo entro un giorno lavorativo), quelli del software usato dal governo federale statunitense e quelli del software critico secondo l'Executive Order 14028;
- gli altri CVE entrano comunque nel database, ma con la priorità più bassa e senza arricchimento immediato, e l'arretrato pubblicato prima del 1° marzo 2026 passa tra quelli non pianificati;
- la NVD non calcola più di routine un proprio punteggio quando la CNA ne ha già fornito uno.
In pratica: un CVE senza punteggio NVD non è un CVE innocuo, e conviene leggere anche il punteggio della CNA e quello degli ADP presenti nel record.
In Europa la direttiva NIS2, all'articolo 12, paragrafo 2, affida all'ENISA una banca dati europea delle vulnerabilità. Secondo ENISA, la EUVD è operativa dal 13 maggio 2025, raccoglie dati da più fonti e importa in automatico, tra gli altri, i dati CVE e il catalogo KEV della CISA. ENISA è anche CNA dal gennaio 2024.
EPSS e KEV: la probabilità e la prova di sfruttamento
Il CVSS risponde alla domanda quanto sarebbe grave. Due strumenti rispondono a una domanda diversa: qualcuno la sta usando, o la userà?
EPSS
L'EPSS (Exploit Prediction Scoring System), mantenuto da un gruppo di lavoro di FIRST, è un modello di machine learning che stima la probabilità che un CVE pubblicato venga sfruttato nei 30 giorni successivi. Ogni giorno pubblica, gratis, una probabilità tra 0 e 1 e un percentile per ogni CVE. La probabilità è un valore assoluto, il percentile una posizione in classifica: poiché quasi tutte le vulnerabilità non vengono mai sfruttate, secondo le FAQ di EPSS una probabilità di 0,10 sta oggi intorno al 95° percentile. EPSS non è un punteggio di rischio completo: non sa quanto danno farebbe lo sfruttamento né se il prodotto è presente nella tua rete.
Il catalogo KEV della CISA
Il catalogo KEV (Known Exploited Vulnerabilities) raccoglie le vulnerabilità con un CVE, prove affidabili di sfruttamento attivo e un'azione di rimedio chiara. Nella versione del 21 ottobre 2026 conta 1.754 voci. È vincolante solo per le agenzie civili federali statunitensi, ma la CISA raccomanda a tutte le organizzazioni di monitorarlo e di dare priorità alle vulnerabilità che contiene. Secondo le FAQ di EPSS, il KEV elenca circa lo 0,5% dei CVE pubblicati.
FIRST spiega così la differenza: il KEV è un registro di ciò che è successo, EPSS è una previsione. Un CVE aggiunto di recente al KEV merita priorità alta qualunque sia il suo EPSS.
Un esempio: Log4Shell
Il record di CVE-2021-44228 mostra tutti i pezzi insieme. La CNA è Apache, che lo ha pubblicato il 10 dicembre 2021. Il punteggio CVSS 3.1 di 10.0, fascia critica, è stato aggiunto dall'ADP della CISA. Lo stesso 10 dicembre la vulnerabilità è entrata nel KEV, dove è segnalata come usata in campagne ransomware. Al 21 ottobre 2026 il suo EPSS è 0,99999. Qui tutti i segnali concordano. Nella maggior parte dei casi non succede, ed è per questo che servono tutti.
Come usarli per decidere quali patch fare prima
Ordinare migliaia di risultati di uno scanner per CVSS decrescente è il metodo più immediato, ma anche il più fragile. Un ordine più solido:
- Sapere cosa hai. Un CVE conta solo se il prodotto e la versione sono nella tua rete. Un vulnerability assessment periodico collega i CVE ai tuoi asset.
- Prima il KEV. Le vulnerabilità sfruttate davvero, a partire dai sistemi esposti su internet.
- Poi l'EPSS. Tra le restanti, una probabilità alta di sfruttamento alza la priorità anche con un CVSS medio.
- Il CVSS come misura della gravità. Si parte dal Base e lo si corregge con il contesto: esposizione, criticità del sistema, controlli compensativi.
- Il contesto che il CVSS non vede. Dati personali, processi produttivi, obblighi normativi.
- Verificare. Dopo la patch si riesegue la scansione, perché la correzione deve risultare installata, non solo pianificata.
Tempi di intervento e rilasci sono il tema del patch management. Il ciclo completo, che tiene insieme questi passi nel tempo, è il vulnerability management. Per sapere se una vulnerabilità è davvero sfruttabile nel tuo ambiente serve un test manuale: la differenza è spiegata in penetration test e vulnerability assessment.
Gli errori più frequenti
- Correggere solo da 9 in su. Una vulnerabilità alta, nel KEV e su un sistema esposto, viene prima di una critica su un server isolato.
- Aspettare il punteggio NVD. Dal 2026 molti CVE non vengono arricchiti subito, e se la CNA ha fornito un punteggio è già nel record.
- Dimenticare ciò che non ha un CVE. Una password predefinita mai cambiata o un servizio esposto per errore sono problemi della tua configurazione, non di un prodotto, e non hanno un CVE.
- Confondere CVE e zero-day. Uno zero-day viene sfruttato prima che esista una patch: il CVE può arrivare dopo l'attacco.
In sintesi
Il CVE dà un nome alla vulnerabilità, il CVSS ne descrive la gravità tecnica, EPSS stima la probabilità di sfruttamento e il KEV registra quelle già sfruttate. Applicati ai tuoi asset, trasformano migliaia di risultati in una lista di lavoro ordinata.
Se vuoi capire quali vulnerabilità della tua infrastruttura vanno affrontate per prime, puoi partire dai nostri servizi di cybersecurity.