Op deze site en in elk NCSC-advisory duikt vroeg of laat een CVE-nummer op, meestal gevolgd door een CVSS-score tussen de nul en de tien. Voor wie het patchen moet plannen is de verleiding groot om dat cijfer als enige maatstaf te gebruiken: hoe hoger de score, hoe eerder de patch erop. Dat is een logisch startpunt, maar niet het hele verhaal.
Wat een CVE-nummer wel en niet zegt
CVE staat voor Common Vulnerabilities and Exposures en is in de kern niets meer dan een uniek volgnummer, zoals CVE-2026-31337. Een CVE Numbering Authority, vaak de leverancier zelf of een coördinerende partij als MITRE, kent dat nummer toe zodra een kwetsbaarheid is bevestigd. Het doel is simpel: iedereen die over dezelfde kwetsbaarheid praat, gebruikt hetzelfde label, of dat nu een leverancier is, een onderzoeker of een IT-beheerder die een advisory leest.
Wat een CVE-nummer nadrukkelijk niet is: een oordeel over hoe ernstig iets is. Het nummer registreert alleen dat een kwetsbaarheid bestaat. Niets over impact, niets over de kans dat hij wordt misbruikt. Die informatie komt pas met de CVSS-score en de context eromheen.
Hoe een CVSS-score is opgebouwd
De Common Vulnerability Scoring System-score probeert die ernst te vangen in een getal van 0 tot 10. Een paar factoren tellen daarin mee. Hoe moeilijk is de aanval uit te voeren, heeft een aanvaller al toegang of inloggegevens nodig, en is de kwetsbaarheid vanaf het netwerk te benaderen of alleen lokaal. Daarnaast weegt de impact mee op vertrouwelijkheid (kan een aanvaller data inzien die niet voor hem bedoeld is), op integriteit (kan hij gegevens aanpassen) en op beschikbaarheid (kan hij een systeem platleggen).
Op basis van die optelsom hanteert deze site, net als de meeste beveiligingsadvisories, een indeling in vier niveaus: laag onder de 4, gemiddeld vanaf 4, hoog vanaf 7 en kritiek vanaf 9. Handig om snel te scannen. Maar die indeling vertelt nog niets over wat er in de praktijk met een kwetsbaarheid gebeurt.
Waarom hetzelfde cijfer niet hetzelfde risico betekent
Hier wringt het vaak. Een kwetsbaarheid met CVSS 9.8 oogt op papier kritiek, maar als er geen enkel bewijs is dat iemand hem daadwerkelijk misbruikt, ligt de urgentie anders dan bij een kwetsbaarheid met CVSS 7.5 die al actief wordt ingezet bij aanvallen. Die laatste, met de status “actief misbruikt” die ook op deze site bij artikelen staat, verdient voorrang, ook al oogt het cijfer op het eerste gezicht minder dramatisch. De CISA KEV-catalogus bestaat precies om dat onderscheid zichtbaar te maken: alleen kwetsbaarheden met bevestigd misbruik staan erop, los van de ruwe CVSS-score.
Patches prioriteren als IT-beheerder
Een CVSS-score is een goed startpunt, geen eindpunt. Kijk naast het cijfer altijd naar de status: is er al misbruik gemeld, is er alleen een proof-of-concept gepubliceerd, of is er enkel een patch beschikbaar zonder bekende aanvallen. Kijk ook naar de blootstelling van het eigen systeem. Een kritieke kwetsbaarheid op een server die alleen intern bereikbaar is, is minder urgent dan een gemiddelde kwetsbaarheid op een VPN-gateway die vanaf het internet te benaderen is.
Lees bij een NCSC-advisory of leveranciersbulletin dus niet alleen de score. Kijk ook naar de tekst eromheen: staat er iets over actieve exploitatie, welke versies zijn precies kwetsbaar, en is er al een patch of voorlopig alleen een workaround. Die details bepalen uiteindelijk of iets vanavond nog moet gebeuren of volgende week in het reguliere onderhoudsvenster past.
Wat betekent dit voor jouw bedrijf?
Baseer patchprioriteit niet alleen op de CVSS-score: check bij elke melding ook de exploitatiestatus (actief misbruikt, PoC beschikbaar of alleen patch beschikbaar) en of het systeem vanaf het internet bereikbaar is. Een extern bereikbaar systeem met een bevestigd actief misbruikte kwetsbaarheid gaat altijd voor, ongeacht het cijfer.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.