CVE: co znamená označení zranitelnosti

Označení má tři části: prefix CVE, rok a pořadové číslo. Rok je rokem, kdy bylo číslo přiděleno, nebo rokem, kdy se chyba dostala na veřejnost, pokud se tak stalo dřív než přidělení čísla. Rokem, kdy chyba vznikla, to není. Pořadové číslo má nejméně čtyři číslice a jeho délka není shora omezená, takže se do jednoho roku vejde libovolný počet záznamů.

Víc se z identifikátoru vyčíst nedá. Neříká, jak je chyba vážná, jestli na ni existuje exploit ani kterého produktu se týká. To všechno je až obsah záznamu, ke kterému číslo odkazuje, a mění se to v čase.

Číslo se nejdřív rezervuje a teprve později zveřejní. Rezervaci provede pověřená organizace ve chvíli, kdy nález přijme, a mezi rezervací a zveřejněním běží oprava. Záznam proto může týdny existovat jen jako číslo bez popisu, což je stav, který působí nejvíc zmatku. U našeho CVE-2026-39042 mezi rezervací 6. dubna 2026 a zveřejněním 13. července 2026 uběhlo 98 dní.

Po zveřejnění se záznam dál mění: doplňuje se rozsah zasažených verzí, odkazy na opravu, kategorie chyby a skóre. Popis, který jste četli ráno, tak může odpoledne vypadat jinak. Sporný záznam se navíc dá označit za rozporovaný a chybně přidělený se zamítne, takže ne každé číslo, které někde uvidíte, popisuje živou zranitelnost.

CVE se dá ověřit ve dvou databázích a vyplatí se vědět, čím se liší. Katalog programu CVE drží záznam tak, jak ho podala pověřená organizace. Databáze NVD nad tímtéž záznamem přidává hodnocení závažnosti, kategorii chyby a strojově čitelný seznam zasažených verzí, takže odpoví rychleji na otázku, jestli se to týká vaší.

Typ chyby popisuje ještě třetí katalog, a ten se s CVE plete nejčastěji. Zatímco CVE označuje jeden výskyt v jednom produktu, CWE popisuje třídu chyby, například přetečení celého čísla pod číslem 190. Jedna třída chyby tak zastřešuje tisíce různých záznamů CVE.

CVE nepokrývá to, co jste si napsali nebo nakonfigurovali sami. Čísla dostávají chyby v hotovém software a firmwaru, tedy v tom, co jste koupili nebo stáhli. Chyba v autorizaci ve vaší vlastní aplikaci, rozdaná oprávnění v Active Directory ani objednávkový formulář, který pustí slevu bez kontroly, žádné číslo nikdy nedostanou.

Praktický důsledek: seznam CVE ve vaší síti a seznam vašich rizik nejsou totéž. Skener porovnává verze proti databázi a najde jen to, co v ní je. Zbytek musí někdo vyzkoušet ručně, a bývá to právě ta část, kterou útočník použije. Co skener sám od sebe nepozná, rozebírá srovnání obou přístupů.

Skóre není součástí přidělení čísla, doplňuje se k záznamu zvlášť. Nejčastěji je to CVSS, tedy hodnota od 0 do 10 a k ní stupeň od Critical po Low. U jednoho záznamu tak můžete narazit na dvě různá čísla, jedno od výrobce a druhé od analytika databáze.

Co přesně se do té hodnoty počítá a proč se stejná chyba jinde hodnotí jinak, rozebírá heslo o tom, jak se k číslu doplní závažnost. Pro první rozhodnutí stačí vědět, že skóre popisuje chybu, ne váš systém.

Vlastní příklad máme jeden: zranitelnost, kterou objevil náš tým v MikroTik RouterOS. Prošla ohlášením výrobci a dostala označení CVE-2026-39042.

Veřejný záznam CVE-2026-39042 v NVD je z 13. 7. 2026 a nese hodnocení 7.5 se stupněm High. Rozbor toho, co chyba dělá a kde v systému sedí, patří ke stránce o testování infrastruktury, kde nález vznikl.

Když se CVE týká vašich systémů, projděte čtyři kroky, a záleží na jejich pořadí. Panika z ranních zpravodajů skončí u prvního z nich pokaždé, když se ohlášená verze s tou vaší nepotká. Teprve když se potká, má smysl řešit zbytek.

• Ověřte verzi a konfiguraci proti záznamu, včetně toho, jestli je zranitelná funkce vůbec zapnutá.
• Zjistěte, odkud je systém dosažitelný: z internetu, z uživatelské sítě, nebo jen ze správcovského segmentu.
• Nasaďte opravu. Když není, omezte přístup nebo vypněte funkci, kterou chyba zneužívá.
• Ověřte výsledek. Změněné číslo verze není důkaz, že je chyba pryč.

Krok dvě rozhoduje o tom, jestli se opravuje dnes v noci, nebo v nejbližším servisním okně. Bez inventury toho, co provozujete, se ale nedá udělat ani jeden z těch kroků včas.