CVE i CVSS — co to jest i jak czytać? Numer CVE, wektor CVSS, NVD, KEV i EPSS w praktyce

PawełInstruktor Cyberium Opublikowano 3 listopada 2026 15 min czytania Poziom: Początkujący

Co to jest CVE?

CVE (Common Vulnerabilities and Exposures) to publiczny, jednoznaczny identyfikator konkretnej podatności w konkretnym oprogramowaniu lub sprzęcie. Dzięki numerowi CVE producent, administrator, skaner podatności i CERT mówią o tej samej luce, nawet jeśli każdy nazywa ją inaczej. Sam numer nie mówi, jak groźna jest luka — do tego służy CVSS.

Program CVE działa od 1999 roku; prowadzi go MITRE, a sponsoruje amerykańska agencja CISA (FAQ programu CVE). Według statystyk CVE.org w 2025 roku opublikowano 48 244 rekordy CVE, a w pierwszych trzech kwartałach 2026 roku już 72 812.

Kto nadaje numery CVE? CNA, czyli CVE Numbering Authority

Numery CVE nadają CNA (CVE Numbering Authorities) — organizacje upoważnione przez program CVE, każda w swoim zakresie. Według CVE.org w programie działa 563 CNA z 43 krajów (stan na 3.11.2026), a w 2026 roku 95% rekordów opublikowały same CNA, bez udziału „CNA ostatniej instancji” (MITRE i CISA).

Najczęściej CNA jest producent — zasady CNA 4.2.1 dają pierwszeństwo CNA o najwłaściwszym zakresie, „w wielu przypadkach dostawcy produktu”. Dlatego numer CVE-2025-55182 dla luki w React nadała Meta. W Polsce jedynym CNA jest CERT Polska — nadaje numery lukom, które sam znajdzie albo które mu zgłoszono.

Jak czytać numer CVE?

Numer CVE ma postać CVE-RRRR-NNNN…:

• CVE — stały prefiks;
• RRRR — rok. Według zasad CNA to zwykle rok, w którym lukę publicznie ujawniono, opublikowano rekord albo zarezerwowano numer. Dlatego CVE-2025-68391 może zostać opublikowane dopiero w 2026 roku — tak było z lukami w ARKETEAM Protectel na liście CERT Polska;
• NNNN… — numer kolejny, co najmniej 4 cyfry. Format rekordu CVE dopuszcza od 4 do 19 cyfr, a przy dzisiejszej liczbie zgłoszeń numery sześciocyfrowe są codziennością, np. CVE-2026-110972.

Rekord CVE ma też status: RESERVED (numer zarezerwowany, bez szczegółów), PUBLISHED (opublikowany) albo REJECTED (odrzucony — według FAQ programu należy go ignorować). Przykład: CVE-2025-66478 nadane luce w Next.js odrzucono jako duplikat CVE-2025-55182, bo obie dotyczyły tego samego podatnego kodu.

Co to jest CVSS? Skala od 0 do 10

CVSS (Common Vulnerability Scoring System) to otwarty standard opisu technicznej wagi podatności: liczba od 0 do 10 i wektor, czyli zapis wszystkich założeń, z których ta liczba wynika. CVSS rozwija organizacja FIRST. Aktualna wersja to CVSS 4.0 (opublikowana w listopadzie 2023, specyfikacja w wersji 1.2 z 18.06.2024). Wersja 3.1 jest u FIRST w archiwum, ale nadal widnieje w tysiącach wpisów, także w NVD.

Obie wersje przekładają wynik na tę samą skalę słowną:

Autorzy standardu piszą w FAQ CVSS 4.0 (17.07.2026): „CVSS-B Base scores are not risk, and should not be used alone for patch prioritization” — wynik bazowy to nie ryzyko i nie powinien sam decydować o kolejności łatania.

Jak czytać wektor CVSS 3.1? Przykład: React2Shell, CVE-2025-55182

Wektor CVSS 3.1 to ciąg par „metryka:wartość” po ukośnikach — każda para opisuje jeden warunek ataku albo jeden skutek. Weźmy podatność w React Server Components, nazwaną React2Shell. Według wpisu w NVD Meta oceniła ją tak:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H   →   10.0 (Critical)

Według opisu w NVD to zdalne wykonanie kodu bez logowania, bo podatny kod niebezpiecznie deserializuje (odtwarza obiekty z przesłanych danych) treść żądań HTTP.

Jak czytać wektor CVSS 4.0? Przykład z Polski: CVE-2026-110972

Wektor CVSS 4.0 ma więcej metryk niż 3.1 i rozdziela skutki dla podatnego systemu (VC, VI, VA) od skutków dla systemów kolejnych (SC, SI, SA). Dobry przykład opublikował 30.10.2026 CERT Polska: trzy luki w programie Płatnik, naprawione w metryce 334 w wersji 10.02.002. Luki zgłoszono do CERT Polska, który koordynował ich ujawnienie. Jeśli korzystasz z Płatnika, sprawdź, czy masz metrykę 334 lub nowszą. Najwyżej oceniona, CVE-2026-110972, polega na uwierzytelnianiu po stronie aplikacji klienckiej. CERT Polska jako CNA ocenił ją na 8,6 (High):

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N   →   8.6 (High)

• AV:L (Local) — atakujący potrzebuje dostępu do działającej instancji aplikacji; to nie jest atak z dowolnego miejsca w internecie.
• AC:L — atak nie wymaga obchodzenia dodatkowych zabezpieczeń.
• AT:N (Attack Requirements: None) — nowa metryka 4.0: atak nie zależy od szczególnej konfiguracji ani wyścigu w czasie.
• PR:N — atakujący nie potrzebuje konta: według CERT Polska może ominąć logowanie i uwierzytelnić się jako dowolny użytkownik.
• UI:N — bez udziału ofiary. W 4.0 ta metryka ma trzy wartości: None, Passive i Active.
• VC:H / VI:H / VA:L — duży wpływ na poufność i integralność, mały na dostępność samej aplikacji.
• SC:N / SI:N / SA:N — według oceny CNA brak skutków dla innych systemów.

W pełnym zapisie w NVD dalej następuje ogon E:X/CR:X/… — X oznacza „nie określono”. Nazwy CVSS-B, CVSS-BT, CVSS-BE i CVSS-BTE mówią, czy poza metrykami bazowymi (B) uwzględniono zagrożenie (T) i środowisko (E). Według specyfikacji i User Guide CVSS 4.0 producenci i bazy takie jak NVD zwykle podają tylko wynik bazowy (CVSS-B), a uzupełnienie go o własne środowisko to zadanie odbiorcy, czyli twoje.

CVSS 3.1 a CVSS 4.0 — co się zmieniło?

Kalkulator CVSS — jak samodzielnie policzyć wynik?

Wynik możesz policzyć sam w oficjalnym kalkulatorze CVSS 4.0 od FIRST: zaznaczasz wartości metryk, a kalkulator pokazuje wynik i gotowy wektor. To dobre ćwiczenie — spróbuj odtworzyć ocenę 8,6 z przykładu powyżej.

NVD — co to jest i jak z niej korzystać?

NVD (National Vulnerability Database) to amerykańska baza podatności prowadzona przez NIST od 2005 roku, która zasila się rekordami CVE i historycznie dokładała do nich własne oceny CVSS, typ błędu (CWE) i listy podatnych produktów (CPE). CVE i NVD to dwa osobne programy: CVE nadaje numery, NVD je wzbogaca.

W 2026 roku NVD zmieniła sposób pracy. NIST ogłosił 15.04.2026, że zgłoszeń CVE przybyło o 263% w latach 2020–2025, więc od tej pory priorytet mają CVE z katalogu CISA KEV (cel: jeden dzień roboczy), oprogramowanie używane przez administrację federalną USA i tzw. oprogramowanie krytyczne. NIST nie będzie też rutynowo dodawać własnej oceny CVSS, jeśli ocenę podał już CNA.

Widać to w obu naszych przykładach:

• CVE-2025-55182 ma status Analyzed. Jedyny wynik CVSS pochodzi od Meta (CNA, oznaczenie „Secondary”), a NVD dodała typ błędu CWE-502.
• CVE-2026-110972 ma status Deferred, czyli NVD nie zaplanowała analizy. Ocena 8,6 pochodzi od CERT Polska.

Brak oceny NIST nie oznacza więc braku problemu — czytaj ocenę CNA. Dane pobierzesz też z terminala, z publicznych API NVD, FIRST i CISA:

# wpis CVE z NVD (JSON: opis, CVSS, CWE, status)
curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2025-55182"
# EPSS z FIRST (prawdopodobieństwo i percentyl)
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2025-55182"
# cały katalog CISA KEV (JSON)
curl -s "https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json"

CWE — czym różni się od CVE?

CWE (Common Weakness Enumeration) to katalog typów błędów, a CVE to konkretny przypadek takiego błędu w konkretnym produkcie. CWE-79 to XSS jako rodzaj błędu. CVE to numer jednej luki XSS w jednej wersji jednego programu. React2Shell ma przypisane CWE-502 (deserializacja niezaufanych danych), a luka w Płatniku — CWE-603 (uwierzytelnianie po stronie klienta).

W rankingu CWE Top 25 z 2025 roku (MITRE i CISA, grudzień 2025) pierwsze miejsca zajmują XSS (CWE-79), SQL injection (CWE-89) i CSRF (CWE-352), a CWE-502 jest na 15. pozycji. Większość czołówki to błędy aplikacji webowych — omawiamy je w artykule o OWASP Top 10.

CISA KEV — które podatności są naprawdę atakowane?

CISA KEV (Known Exploited Vulnerabilities) to katalog podatności, które według amerykańskiej agencji CISA są wykorzystywane w realnych atakach. Żeby trafić do KEV, luka musi spełnić trzy warunki: mieć numer CVE, mieć wiarygodne dowody aktywnego wykorzystania i mieć jasny sposób naprawy, np. aktualizację od producenta.

W wersji katalogu z 30.10.2026 jest 1 766 pozycji. To mniej niż pół procenta z ok. 382 tys. rekordów CVE opublikowanych od 1999 roku (nasze wyliczenie z tabeli CVE.org). Obowiązek łatania w terminie ma tylko administracja federalna USA (BOD 26-04 z 10.06.2026), ale CISA zaleca KEV wszystkim.

React2Shell trafił do KEV 5.12.2025, dwa dni po publicznym ujawnieniu. Termin naprawy dla agencji federalnych wyznaczono na 12.12.2025, a w polu „użycie w kampaniach ransomware” katalog podaje dziś wartość Known. Luk w Płatniku w KEV nie ma (stan na 3.11.2026).

EPSS — jakie jest prawdopodobieństwo ataku?

EPSS (Exploit Prediction Scoring System) to model FIRST, który codziennie szacuje dla każdego CVE prawdopodobieństwo wykorzystania w ciągu najbliższych 30 dni — od 0 do 1, z percentylem. Percentyl mówi, jak luka wypada na tle wszystkich innych. Według FAQ EPSS wyniki skupiają się blisko zera, bo większość luk nigdy nie jest wykorzystywana. Dlatego EPSS równe 0,10 (10%) to już okolice 95. percentyla.

EPSS i KEV mierzą co innego: KEV to historia (atak potwierdzony), EPSS to prognoza. FAQ EPSS podkreśla, że niski EPSS luki z KEV nie jest sprzecznością.

Jak czytać wpis CVE krok po kroku?

Wpis CVE czytasz w sześciu krokach: identyfikator i status, produkt i wersje, wektor CVSS, KEV, EPSS, poprawka. Dopiero wszystkie razem mówią, czy i jak szybko masz działać.

Na przykładzie React2Shell: CVSS 10,0, KEV i EPSS 99,8% to sygnał do natychmiastowej reakcji. Według komunikatu zespołu React (3.12.2025) luka dotyczy jednak pakietów react-server-dom-webpack, react-server-dom-parcel i react-server-dom-turbopack w wersjach 19.0.0, 19.1.0, 19.1.1 i 19.2.0. Poprawkę samej CVE-2025-55182 wprowadzono w wersjach 19.0.1, 19.1.2 i 19.2.1. W tych samych pakietach znaleziono później kolejne luki (m.in. CVE-2025-55184 i CVE-2026-23864), dlatego zespół React zaleca dziś najnowsze poprawione wersje (aktualizacja komunikatu z 26.01.2026). Zespół React pisze wprost, że aplikacja, której kod React nie używa serwera, nie jest podatna. Krok 2 bywa więc ważniejszy niż sama liczba.

Jak śledzić podatności CVE po polsku?

Najlepszym polskim źródłem jest lista podatności CERT Polska: opisy po polsku z numerem CVE, producentem, podatnymi wersjami i typem błędu (CWE). Tylko 29–30.10.2026 pojawiły się tam m.in. luki w Płatniku, Szafirze i Zimbrze — często w oprogramowaniu popularnym właśnie w Polsce.

Według zasad CVD CERT Polska (CVD — skoordynowane ujawnianie podatności) numer CVE dostaje luka w oprogramowaniu używanym w wielu systemach, a wpis CERT Polska publikuje po 90 dniach od przekazania szczegółów producentowi albo wcześniej, gdy wyjdzie poprawka.

Pozostałe źródła warto ułożyć według potrzeb:

• EUVD (European Vulnerability Database) — europejska baza podatności, którą ENISA uruchomiła 13.05.2025. Przy wpisie pokazuje m.in. EPSS i datę, od kiedy luka jest wykorzystywana. React2Shell ma tam numer EUVD-2025-200983 obok CVE-2025-55182.
• NVD i CISA KEV — pełne dane, API i krótka lista luk z potwierdzonymi atakami (przykłady zapytań w sekcji o NVD).
• Komunikaty producentów — źródło wersji z poprawką. Śledź tych, których produktów faktycznie używasz.

Najczęstsze błędy w czytaniu CVE i CVSS

Najczęstszy błąd to traktowanie liczby CVSS jak wyroku: „CVSS 9,8 = na pewno nas dotyczy”. Wynik 9,8 w CVSS 3.1 daje m.in. wektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, czyli zdalny atak bez logowania z pełnymi skutkami. Mówi on jednak tylko o podatnym produkcie, nie o twojej sieci — dlatego przy krytycznych lukach, takich jak CVE-2026-109618 w PHP czy CVE-2026-98432 w jądrze Linuksa, zaczynamy od pytania o wersje i konfigurację. Pozostałe pułapki:

1. „Wysoki CVSS = natychmiast, niski = nigdy.” O kolejności decydują też KEV, EPSS i to, czy system jest wystawiony do internetu. FIRST pisze wprost, że wynik bazowy „nie jest ryzykiem”.
2. „Jeden CVE = jedna aplikacja.” Zasady CNA nakazują jeden numer, gdy kilka produktów dzieli ten sam podatny kod. CVE-2025-55182 dotyczy więc też frameworków z React Server Components, wymienionych przez zespół React: m.in. Next.js i React Router.
3. „Wynik 3.1 i 4.0 to to samo.” To inne wzory i inne metryki. Gdy CVE ma kilka ocen, porównuj wektory, wersje i autorów, nie same liczby.
4. „Skaner pokazał CVE, więc jest luka.” Skanery opierają się często na numerze wersji. Wynik trzeba zweryfikować, bo zdarzają się fałszywe alarmy (false positives).

Dlaczego warto umieć czytać CVE — także w czasach AI?

Bo rekordów CVE przybywa szybciej, niż ktokolwiek je przeanalizuje — według NIST liczba zgłoszeń wzrosła o 263% w latach 2020–2025 — a decyzja „co łatamy najpierw” wymaga zrozumienia kontekstu. Asystent AI działa tu jak szybki tłumacz biuletynów: streści wpis CVE w kilka sekund, ale to człowiek ocenia, czy twoja wersja jest podatna i czy poprawka nie zepsuje produkcji — więcej w artykule czy warto uczyć się cyberbezpieczeństwa w czasach AI.

Jak nauczyć się pracy z CVE i CVSS w praktyce?

Najszybciej w laboratorium: ocenić lukę w CVSS, znaleźć ją skanerem, zweryfikować wynik, wykorzystać ją legalnie i opisać w raporcie. Tak jest ułożony program kursu cyberbezpieczeństwa od podstaw w Cyberium — polskim kursie cyberbezpieczeństwa online (na sam start polecamy plan pierwszych 30 dni i plan nauki w 8 krokach):

• Szkolenie 3 „Fundamenty cyberbezpieczeństwa i metodyka pentestów” — moduł „Podatności, zagrożenia i ryzyko”: podatności i system oceny CVSS, modelowanie zagrożeń, zarządzanie ryzykiem.
• Szkolenie 4 „Rekonesans, skanowanie i eksploitacja systemów” — skanery Nessus i OpenVAS, interpretacja wyników, weryfikacja fałszywych alarmów (false positives), wyszukiwanie exploitów (ExploitDB, Searchsploit, GitHub).
• Szkolenie 6 „Post-eksploitacja i raportowanie” — lekcja „Dokumentowanie podatności z wykorzystaniem CVSS” i szablon raportu.
• Szkolenie 8 „Atakowanie aplikacji webowych — techniki zaawansowane” — „Treningowe CVE: React2Shell, CVE-2025-55182”. Według programu „zobaczysz, jak wygląda praca z nowym CVE od opisu do wykorzystania”.

Na końcu kursu czeka egzamin praktyczny C:CCE: 12 godzin na test penetracyjny maszyny egzaminacyjnej i 48 godzin na profesjonalny raport. Dostęp dostajesz od razu po zakupie. Zanim zdecydujesz, obejrzyj dwie praktyczne lekcje DEMO.

Najczęstsze pytania (FAQ)

Podsumowanie

CVE mówi, o którą podatność chodzi, CVSS — jak poważna jest technicznie, a CWE — jakiego typu to błąd. O kolejności łatania decydujesz dopiero wtedy, gdy sprawdzisz, czy masz podatną wersję, czy luka jest w CISA KEV i jakie ma EPSS. Jeśli chcesz ćwiczyć tę drogę po polsku, od oceny CVSS przez React2Shell w laboratorium po raport, sprawdź nasz kurs cyberbezpieczeństwa online.