Cos'è una CVE? Numeri CVE e punteggi CVSS spiegati

WindowsMacAggiornato

Una CVE è un codice di riferimento pubblico per una singola falla di sicurezza resa nota, come CVE-2026-109618, una delle due falle di PHP chiamate PHP2Shell. Il CVE Program definisce l'identificativo CVE come una stringa alfanumerica che identifica una vulnerabilità resa pubblica. Il punteggio CVSS è un'altra cosa: una valutazione di quanto è grave quella falla, da 0 a 10. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Una CVE è un identificativo unico per una falla di sicurezza resa pubblica, così che tutti possano riferirsi allo stesso problema. Il CVSS è un sistema di punteggio che valuta la gravità della falla da 0.0 a 10.0. Da 9.0 in su la gravità è critica, quindi il 9.2 assegnato a entrambe le falle PHP2Shell è critico.

Cos'è una CVE?

CVE sta per Common Vulnerabilities and Exposures. Il glossario del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, la descrive come una lista di vulnerabilità note, ognuna con un identificativo univoco, una descrizione e almeno un riferimento pubblico. Il CVE Program dice che la sua missione è identificare, definire e catalogare le vulnerabilità rese pubbliche, e che c'è un record CVE per ogni vulnerabilità del catalogo. Le sue FAQ indicano l'identificativo CVE come la parte numerica del record, nel formato CVE-AAAA-NNNN.

Il numero serve perché persone e strumenti siano sicuri di parlare della stessa falla. Quando il CSIRT Italia, l'agenzia statunitense CISA e il progetto PHP citano CVE-2026-109619, parlano tutti di un bug preciso.

Chi assegna il numero CVE a una falla?

Un'organizzazione chiamata CVE Numbering Authority, o CNA. Il CVE Program definisce la CNA come un ente autorizzato, con un ambito e una responsabilità precisi, ad assegnare regolarmente identificativi CVE e pubblicare i record corrispondenti.

Per PHP2Shell la CNA è stato il progetto PHP stesso. I record CVE ufficiali di entrambe le falle indicano il progetto PHP come assegnatario, e mostrano che ha riservato i due identificativi il 12 ottobre 2026 e pubblicato i record il 21 ottobre, il giorno delle correzioni.

Il numero CVE dice quanto è grave una falla?

No. Il numero è solo un identificativo. Le FAQ del CVE Program spiegano che il formato del record permette alle CNA di includere punteggi CVSS o altri livelli di gravità quando pubblicano i record. Quindi il punteggio viene da chi lo scrive, ed è qui che entra il CVSS. Il glossario del CSIRT Italia ricorda che il National Vulnerability Database (NVD) del NIST assegna a ogni CVE un punteggio di gravità basato sul CVSS.

Cos'è il CVSS?

Il CVSS è il Common Vulnerability Scoring System, di proprietà di FIRST e gestito da FIRST, che le sue specifiche descrivono come un'organizzazione senza scopo di lucro con sede negli Stati Uniti, la cui missione è aiutare i team di risposta agli incidenti di sicurezza di tutto il mondo. Le specifiche della versione 4.0 dicono che il CVSS raccoglie le principali caratteristiche tecniche delle vulnerabilità, e produce punteggi numerici che indicano la gravità di una vulnerabilità rispetto alle altre.

Il numero principale è di solito il punteggio Base, da 0.0 a 10.0. È accompagnato da una stringa vettoriale, un codice breve che registra ogni scelta dietro il punteggio. Per entrambe le falle PHP2Shell è CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. AV:N vuol dire che la falla si può attaccare via rete, PR:N che non serve alcun login, e VC:H, VI:H e VA:H che l'impatto sul sistema vulnerabile è alto. FIRST chiede a chi pubblica un punteggio CVSS di fornire anche la stringa vettoriale, così che altri possano vedere come è stato calcolato.

La guida sulla remote code execution spiega cosa vogliono dire in pratica quei livelli d'impatto.

Cosa significa un punteggio CVSS di 9.2?

Critico. Le specifiche di FIRST collegano ogni punteggio a un livello di gravità, e il NVD usa le stesse fasce:

  • Nessuna: 0.0
  • Bassa: da 0.1 a 3.9
  • Media: da 4.0 a 6.9
  • Alta: da 7.0 a 8.9
  • Critica: da 9.0 a 10.0

Il progetto PHP ha valutato entrambe le falle PHP2Shell, CVE-2026-109618 e CVE-2026-109619, 9.2 con il CVSS v4.0, quindi nella fascia critica. L'alert del CSIRT Italia riporta per entrambe uno score CVSS v4.0 pari a 9,2. FIRST dice che le fasce servono alle organizzazioni per valutare e dare le giuste priorità alla gestione delle vulnerabilità.

Perché il punteggio non dice tutto?

Perché il punteggio Base misura quanto è grave una falla, non il rischio che rappresenta per te. Il NVD lo dice chiaramente: il CVSS non è una misura del rischio. La guida d'uso di FIRST scrive che i punteggi Base misurano la gravità e non vanno usati da soli per valutare il rischio.

Il CVSS v4.0 ha altri gruppi di metriche per questo. Le metriche Threat correggono il punteggio in base, per esempio, alla disponibilità di codice proof of concept o a uno sfruttamento attivo, e le metriche Environmental riflettono i sistemi di una specifica organizzazione. FIRST dice che queste informazioni sono disponibili solo a chi usa il software, che dovrebbe aggiungerle alle metriche Base per avere un punteggio specifico. Il NVD dice che fornisce solo valutazioni delle metriche Base.

C'è anche la questione di chi assegna il punteggio. Per PHP2Shell, tre fonti ufficiali danno numeri diversi:

  • Il progetto PHP: 9.2, critico, per entrambe le falle, con il CVSS v4.0.
  • La valutazione del NVD con il CVSS v3.1: 9.8, critico, per CVE-2026-109618, e 8.1, alto, per CVE-2026-109619. Al 23 ottobre 2026 il NVD non mostra una propria valutazione v4.0.
  • L'avviso Synology-SA-26:14: un CVSS3 Base Score di 9.8, critico, per entrambe le falle.

Le stringhe vettoriali mostrano dove divergono. Per CVE-2026-109619 il NVD indica una complessità d'attacco alta, e Synology bassa. Nessuna delle tre fonti mette una delle due falle sotto il livello alto, e il consiglio del progetto PHP per entrambe è aggiornare.

Altre domande

Cosa vuol dire CVE?

Common Vulnerabilities and Exposures. Il CVE Program, che gestisce l'elenco, si descrive sul suo sito come un'iniziativa internazionale guidata dalla comunità per identificare e catalogare le vulnerabilità rese pubbliche.

Una vulnerabilità critica è un'emergenza per me?

Solo se usi il software colpito. Un livello critico descrive la falla, e il NVD dice che il CVSS non è una misura del rischio. Per PHP2Shell riguarda chi gestisce siti o dispositivi con PHP. La guida su come verificare la versione di PHP del sito mostra dove guardare.

Che differenza c'è tra CVSS 3.1 e 4.0?

Il NVD spiega che il CVSS v3.x ha tre gruppi di metriche (Base, Temporal ed Environmental), mentre la v4.0 ne ha quattro (Base, Threat, Environmental e Supplemental). Le fasce di gravità bassa, media, alta e critica sono le stesse nelle due versioni.

Dove posso cercare un numero CVE?

Su cve.org, che ospita i record CVE ufficiali, e sul NVD, su nvd.nist.gov. Il NVD dice che arricchisce con punteggi CVSS tutti i record CVE pubblicati, e le sue pagine mostrano i punteggi sia del NVD sia della CNA.

Cos'è l'EPSS che compare in alcuni avvisi?

Il glossario del CSIRT Italia descrive l'EPSS (Exploit Prediction Scoring System) come un valore aggiornato ogni giorno da FIRST, che indica la probabilità che una vulnerabilità venga sfruttata. La guida su cos'è una vulnerabilità informatica spiega la falla in sé.

Fonti