Was ist eine CVE? CVE-Nummern und CVSS-Werte erklärt

WindowsMacAktualisiert

Eine CVE ist eine öffentliche Kennnummer für genau eine veröffentlichte Sicherheitslücke, etwa CVE-2026-109618, eine der beiden PHP-Lücken mit dem Namen PHP2Shell. Das CVE-Programm definiert eine CVE-ID als Zeichenfolge, die eine öffentlich bekannt gemachte Schwachstelle identifiziert. Ein CVSS-Wert ist etwas anderes: eine Bewertung, wie schwer diese Lücke wiegt, von 0 bis 10. Dieser Ratgeber hat den Stand vom 23. Oktober 2026.

Kurze Antwort

Eine CVE ist eine eindeutige Kennung für eine öffentlich bekannte Sicherheitslücke, damit alle vom selben Problem sprechen. CVSS ist ein Bewertungssystem, das den Schweregrad der Lücke von 0,0 bis 10,0 einstuft. Ab 9,0 gilt eine Lücke als kritisch, die 9,2 für beide PHP2Shell-Lücken ist also kritisch.

Was ist eine CVE?

CVE steht für Common Vulnerabilities and Exposures. Das CVE-Programm beschreibt seine Aufgabe als Identifizieren, Definieren und Katalogisieren öffentlich bekannter Schwachstellen, mit einem CVE-Eintrag für jede Schwachstelle im Katalog. Laut seinen FAQ ist die CVE-ID der Nummernteil des Eintrags, im Format CVE-JJJJ-NNNN.

Der Sinn der Nummer: Menschen und Programme können sicher sein, dass sie dieselbe Lücke meinen. Wenn das BSI, die US-Behörde CISA und das PHP-Projekt CVE-2026-109619 nennen, sprechen sie alle von demselben Fehler.

Wer vergibt die CVE-Nummer?

Eine Organisation, die CVE Numbering Authority heißt, kurz CNA. Das CVE-Programm beschreibt eine CNA als berechtigte Stelle, die in ihrem Zuständigkeitsbereich CVE-IDs vergibt und die passenden Einträge veröffentlicht.

Bei PHP2Shell war das PHP-Projekt selbst die CNA. Die offiziellen CVE-Einträge beider Lücken nennen PHP als vergebende Stelle. Sie zeigen, dass beide Nummern am 12. Oktober 2026 reserviert und die Einträge am 21. Oktober veröffentlicht wurden, dem Tag der Korrekturen.

Sagt die CVE-Nummer etwas über den Schweregrad?

Nein, die Nummer ist nur eine Kennung. Laut den FAQ des CVE-Programms erlaubt das Eintragsformat den CNAs, CVSS-Werte oder andere Schweregrade mitzuveröffentlichen. Der Wert kommt also von dem, der ihn einträgt, und da kommt CVSS ins Spiel.

Was ist CVSS?

CVSS ist das Common Vulnerability Scoring System. Es gehört FIRST, einer gemeinnützigen Organisation mit Sitz in den USA, die laut eigener Spezifikation Teams zur Behandlung von Sicherheitsvorfällen weltweit unterstützen will. Laut Version 4.0 erfasst CVSS die wichtigsten technischen Merkmale einer Schwachstelle und liefert Zahlenwerte, die ihren Schweregrad im Vergleich zu anderen Schwachstellen angeben.

Das BSI nennt CVSS den etablierten und anerkannten Industriestandard und den De-facto-Standard für die Bewertung von Schwachstellen. Er bezieht laut BSI neben dem Angriffsvektor, der nötigen Nutzerinteraktion und den benötigten Rechten weitere Faktoren ein, die die Schwierigkeit der Ausnutzung und deren Wirkung beziffern. Das BSI nutzt CVSS auch für seine eigene Statistik der bekannt gewordenen Schwachstellen.

Die Hauptzahl ist meist der Basiswert (Base Score) von 0,0 bis 10,0. Dazu gehört ein Vektor, ein kurzer Code, der jede Einzelentscheidung festhält. Für beide PHP2Shell-Lücken lautet er CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. AV:N heißt, die Lücke ist über das Netzwerk angreifbar, PR:N, dass keine Anmeldung nötig ist, UI:N, dass keine Nutzerinteraktion nötig ist, und VC:H, VI:H und VA:H, dass die Auswirkung auf das betroffene System hoch ist. FIRST verlangt, dass jeder, der einen CVSS-Wert veröffentlicht, auch den Vektor angibt. Was diese Auswirkungen praktisch bedeuten, erklärt Was ist Remote Code Execution?

Was bedeutet ein CVSS-Wert von 9,2?

Kritisch. Die Spezifikation von FIRST ordnet jedem Wert eine Stufe zu, und die US-Datenbank NVD nutzt dieselben Bereiche:

  • Keine (None): 0,0
  • Niedrig (Low): 0,1 bis 3,9
  • Mittel (Medium): 4,0 bis 6,9
  • Hoch (High): 7,0 bis 8,9
  • Kritisch (Critical): 9,0 bis 10,0

Das PHP-Projekt bewertet beide PHP2Shell-Lücken nach CVSS Version 4.0 mit 9,2, also kritisch. Das BSI übernimmt diesen Wert in seiner Warnung: 9.2 von 10.

Ist der CVSS-Wert dasselbe wie die BSI-Warnstufe?

Nein. Das BSI gibt seinen Warnungen eine eigene Kritikalität in vier Stufen, von 1 (Grau) bis 4 (Rot). Für die PHP-Warnung wählte es Stufe 3 (Orange), definiert als: Maßnahmen müssen unverzüglich ergriffen werden, massive Beeinträchtigung des Regelbetriebs möglich. Der CVSS-Wert beschreibt die Lücke, die BSI-Stufe sagt Organisationen, wie schnell sie handeln sollen.

Warum ist der Wert nicht die ganze Wahrheit?

Weil der Basiswert misst, wie schwer eine Lücke wiegt, nicht welches Risiko sie für dich bedeutet. Die NVD schreibt ausdrücklich, CVSS sei kein Maß für Risiko. Der Leitfaden von FIRST sagt, Basiswerte sollten nicht allein zur Risikobewertung genutzt werden.

Dafür hat CVSS 4.0 weitere Gruppen. Die Bedrohungsmetriken (Threat) passen einen Wert etwa an, wenn Proof-of-Concept-Code verfügbar ist oder die Lücke aktiv ausgenutzt wird. Die Umgebungsmetriken (Environmental) spiegeln die eigenen Systeme einer Organisation. Laut FIRST liegen diese Informationen nur den Organisationen vor, die die Software einsetzen, und die sollen sie zum Basiswert ergänzen. Die NVD bewertet nach eigenen Angaben nur die Basismetriken.

Wichtig ist auch, wer bewertet. Für PHP2Shell nennen drei offizielle Quellen unterschiedliche Zahlen:

  • Das PHP-Projekt: 9,2, kritisch, für beide Lücken, nach CVSS 4.0.
  • Die eigene Bewertung der NVD nach CVSS 3.1: 9,8, kritisch, für CVE-2026-109618, und 8,1, hoch, für CVE-2026-109619. Stand 23. Oktober 2026 hat die NVD keine eigene Bewertung nach Version 4.0.
  • Synologys Hinweis Synology-SA-26:14: CVSS3-Basiswert 9,8, kritisch, für beide Lücken.

Die Vektoren zeigen, wo die Unterschiede liegen. Bei CVE-2026-109619 setzt die NVD die Angriffskomplexität auf hoch, Synology auf niedrig. Keine der drei Quellen stuft eine der Lücken unter hoch ein, und das PHP-Projekt rät für beide zum Update.

Weitere Fragen

Wofür steht CVE?

Für Common Vulnerabilities and Exposures. Das CVE-Programm, das die Liste führt, beschreibt sich selbst als internationale, gemeinschaftlich getragene Initiative, die öffentlich bekannte Schwachstellen identifiziert und katalogisiert.

Ist eine kritische Lücke für mich ein Notfall?

Nur wenn du die betroffene Software einsetzt. Die Stufe kritisch beschreibt die Lücke, und die NVD sagt, CVSS sei kein Maß für Risiko. Bei PHP2Shell betrifft das Menschen, die Websites oder Geräte mit PHP betreiben. Wo du nachsiehst, zeigt PHP-Version prüfen.

Was ist der Unterschied zwischen CVSS 3.1 und 4.0?

Laut NVD hat CVSS 3.x drei Metrikgruppen (Base, Temporal und Environmental), 4.0 dagegen vier (Base, Threat, Environmental und Supplemental). Die Bereiche für niedrig, mittel, hoch und kritisch sind in beiden Versionen gleich.

Wo kann ich eine CVE-Nummer nachschlagen?

Auf cve.org, wo die offiziellen CVE-Einträge liegen, und in der NVD unter nvd.nist.gov. Die NVD-Seiten zeigen Werte der NVD und der CNA nebeneinander. Laut BSI beruht auch seine Schwachstellenstatistik auf weltweiten Rohdaten des US-amerikanischen NIST, das die NVD betreibt.

Ist eine CVE dasselbe wie eine Sicherheitslücke?

Nicht ganz. Die Sicherheitslücke ist der Fehler selbst, die CVE-ID ist ihre Bezeichnung. Den Begriff erklärt Was ist eine Sicherheitslücke?

Quellen