Af Azends rådgivere i IT-sikkerhed og compliance · Opdateret 23. oktober 2026
CVE står for Common Vulnerabilities and Exposures. Et CVE-nummer er et fælles id for en offentligt kendt sårbarhed i software eller hardware, fx CVE-2021-44228, som er den sårbarhed i Log4j, der blev kendt som Log4Shell.
Nummeret gør, at leverandører, sikkerhedsfolk og it-afdelinger over hele verden kan tale om præcis den samme fejl. Det er udgangspunktet, når I skal vurdere, om jeres systemer er berørt, og hvor hurtigt de skal opdateres.
Et CVE-nummer siger ikke i sig selv noget om, hvor farlig en fejl er. Det er et navn. Vurderingen af alvoren og prioriteringen er en anden opgave, og det er der, mange virksomheder har brug for hjælp.
Et CVE-nummer består af tre dele: bogstaverne CVE, året hvor nummeret blev reserveret, og et løbenummer. CVE-2021-44228 er altså en sårbarhed, der fik sit nummer i 2021.
Numrene uddeles af CVE-programmet, som drives af den amerikanske non-profit organisation MITRE med støtte fra det amerikanske cybersikkerhedsagentur CISA. En lang række leverandører, fx Microsoft, Google og Cisco, er selv godkendt til at tildele numre til fejl i deres egne produkter. Det gør, at de fleste sårbarheder i kendte produkter får et CVE-nummer samme dag, som rettelsen udkommer.
Når I læser om sårbarheder, møder I ofte flere forkortelser på én gang. De supplerer hinanden:
01
Id-nummeret for selve sårbarheden. Fortæller hvad fejlen er, men ikke hvor alvorlig den er.
02
En score fra 0 til 10 for, hvor alvorlig fejlen er teknisk set. En score på 9 eller derover kaldes kritisk.
03
Den amerikanske database, hvor NIST beriger CVE-numrene med scorer og berørte produkter.
04
CISAs liste over sårbarheder, der vides at blive udnyttet aktivt. Et stærkt signal om, at det haster.
05
Et estimat af sandsynligheden for, at en sårbarhed bliver udnyttet inden for de næste 30 dage.
Mange virksomheder sorterer deres sårbarheder efter CVSS-score og starter fra toppen. Det lyder logisk, men det fører ofte til, at kræfterne bruges forkert. En kritisk score på et system, der kun kan nås internt, kan være mindre presserende end en middel score på jeres VPN-udstyr. Vi spørger derfor altid til fire ting:
En zero day er en sårbarhed, som angribere udnytter, før der findes en rettelse. Den får som regel et CVE-nummer, når leverandøren kender til den. Indtil da handler forsvaret om at begrænse adgangen og overvåge for usædvanlig adfærd.
Patch Tuesday er Microsofts faste udgivelse af sikkerhedsopdateringer den anden tirsdag i hver måned. Hver udgivelse indeholder typisk mange CVE-numre på én gang. Det er en god rytme at planlægge efter, men kritiske rettelser til udstyr, der vender mod internettet, bør ikke vente på næste månedlige vindue.
Det sværeste ved sårbarheder er sjældent selve opdateringen. Det er at vide, hvad man har, og hvad der skal tages først. Vores faste proces ser sådan ud:
Læs mere om, hvordan opdateringerne håndteres i praksis, under patch management.
Vi hjælper med at kortlægge jeres systemer, finde de sårbarheder der betyder noget, og lukke dem i den rigtige rækkefølge. Læs mere om it-sikkerhed hos Azend, eller tag en uforpligtende snak med en af vores rådgivere.
CVE står for Common Vulnerabilities and Exposures. Det er et internationalt system, der giver offentligt kendte sårbarheder i software og hardware et fast id-nummer.
CVSS er en score fra 0 til 10, der beskriver hvor alvorlig en sårbarhed er teknisk set. Den bør kombineres med viden om, om sårbarheden udnyttes aktivt, og om det berørte system kan nås fra internettet.
Nej. Mange CVE-numre handler om produkter, I ikke bruger, eller om fejl der kun kan udnyttes under særlige forhold. Det afgørende er at vide, hvilke systemer I har, så I kan se, hvilke CVE-numre der rammer jer.
En zero day er en sårbarhed, der udnyttes, før der findes en rettelse. En CVE er id-nummeret for en kendt sårbarhed. En zero day får typisk et CVE-nummer, når leverandøren kender til fejlen.
✓ NVD (NIST): The CVE process
✓ CVE Program: Forholdet mellem CVE og NVD
✓ Styrelsen for Samfundssikkerhed: vejledninger og trusselsvurderinger
Sådan holdes systemerne opdateret i praksis.
De vigtigste angrebstyper, og hvordan et forløb typisk ser ud.
Kryptering og afpresning, og hvorfor backup alene ikke er nok.
Ny IT-partner? Lad os tage en snak.
400+ virksomheder bruger allerede Azend
Ny IT-partner? Lad os tage en snak.