CVE란? CVE 번호와 CVSS 점수 쉽게 이해하기

WindowsMac업데이트

CVE는 공개된 보안 결함 하나에 붙는 공개 참조 번호입니다. PHP2Shell로 불리는 PHP 취약점 두 가지 가운데 하나인 CVE-2026-109618이 그 예입니다. CVE 프로그램은 CVE ID를 공개된 취약점을 식별하는 영문자와 숫자로 된 문자열이라고 정의합니다. CVSS 점수는 이와 별개로, 그 결함이 얼마나 심각한지를 0에서 10까지 매긴 등급입니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

CVE는 공개된 보안 결함 하나에 붙는 고유 번호로, 모두가 같은 문제를 가리킬 수 있게 해 줍니다. CVSS는 결함의 심각도를 0.0에서 10.0까지 매기는 점수 체계입니다. 9.0 이상은 치명적(Critical) 등급이므로, PHP2Shell 두 취약점이 받은 9.2점은 치명적입니다.

CVE는 무엇인가요?

CVE는 Common Vulnerabilities and Exposures의 줄임말입니다. CVE 프로그램은 공개된 사이버보안 취약점을 식별하고 정의하고 목록화하는 것이 사명이며, 목록의 취약점마다 CVE 레코드가 하나씩 있다고 설명합니다. FAQ에 따르면 CVE ID는 레코드의 번호 부분이며 CVE-YYYY-NNNN 형식입니다.

번호의 쓸모는 사람과 도구가 같은 결함을 가리키고 있다고 확신할 수 있게 하는 데 있습니다. KISA(한국인터넷진흥원), 미국 CISA, PHP 개발팀이 모두 CVE-2026-109619를 적으면 모두 같은 버그 하나를 말하는 것입니다. KISA의 PHP2Shell 대응 수칙도 개요에 CVE-2026-109618과 CVE-2026-109619를 함께 적습니다.

CVE 번호는 누가 붙이나요?

CVE 번호 부여 기관(CNA)이라고 부르는 조직입니다. CVE 프로그램은 CNA를 자기 범위 안에서 CVE ID를 부여하고 그에 맞는 CVE 레코드를 공개하도록 인가된 기관이라고 정의합니다.

PHP2Shell의 CNA는 PHP 프로젝트 자신이었습니다. 두 취약점의 공식 CVE 레코드는 PHP 프로젝트를 부여 기관으로 적고 있으며, 2026년 10월 12일에 두 ID를 예약하고 수정 버전이 나온 10월 21일에 레코드를 공개했다고 기록합니다.

CVE 번호로 결함이 얼마나 심각한지 알 수 있나요?

아닙니다. 번호는 식별자일 뿐입니다. CVE 프로그램의 FAQ는 레코드 형식이 CNA가 레코드를 공개할 때 CVSS 같은 심각도 점수를 넣을 수 있게 한다고 설명합니다. 그래서 점수는 레코드를 작성하는 쪽에서 나오고, 여기서 CVSS가 등장합니다.

CVSS는 무엇인가요?

CVSS는 Common Vulnerability Scoring System, 공통 취약점 점수 체계입니다. FIRST가 소유하고 관리하며, FIRST의 명세는 FIRST를 세계 각국의 침해사고 대응팀을 돕는 것이 사명인 미국의 비영리 단체라고 소개합니다. 4.0 명세는 CVSS가 취약점의 주요 기술적 특성을 담고, 다른 취약점과 비교한 심각도를 숫자 점수로 보여 준다고 설명합니다.

대표 숫자는 보통 기본(Base) 점수이며 0.0에서 10.0 사이입니다. 점수에는 벡터 문자열이 함께 붙는데, 점수를 낸 선택 하나하나를 기록한 짧은 코드입니다. PHP2Shell 두 취약점의 벡터는 CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N입니다. AV:N은 네트워크로 공격할 수 있다는 뜻, PR:N은 로그인이 필요 없다는 뜻, VC:H, VI:H, VA:H는 취약한 시스템에 대한 영향이 높다는 뜻입니다. FIRST는 CVSS 점수를 공개하는 쪽이 벡터 문자열도 함께 밝혀, 다른 사람이 점수가 어떻게 나왔는지 볼 수 있게 하라고 요구합니다.

이런 영향 등급이 실제로 무엇을 뜻하는지는 원격 코드 실행(RCE)이란?에서 설명합니다.

CVSS 9.2점은 무슨 뜻인가요?

치명적이라는 뜻입니다. FIRST 명세는 모든 CVSS 점수를 심각도 등급에 대응시키고, 미국 국가취약점데이터베이스(NVD)도 같은 구간을 씁니다.

  • 없음(None): 0.0
  • 낮음(Low): 0.1에서 3.9
  • 중간(Medium): 4.0에서 6.9
  • 높음(High): 7.0에서 8.9
  • 치명적(Critical): 9.0에서 10.0

PHP 개발팀은 PHP2Shell 두 취약점, CVE-2026-109618과 CVE-2026-109619를 CVSS 4.0 기준 9.2점으로 평가했고, 이는 치명적 구간에 들어갑니다. KISA도 대응 수칙에서 이 취약점들을 CVSS 9.2의 치명적 보안 취약점이라고 소개합니다. FIRST는 이 등급이 조직이 취약점 관리 절차를 제대로 평가하고 우선순위를 정하도록 돕기 위한 것이라고 설명합니다.

점수만 보면 안 되는 이유는?

기본 점수는 결함이 얼마나 심각한지를 재는 것이지, 나에게 얼마나 위험한지를 재는 것이 아니기 때문입니다. NVD는 CVSS가 위험도를 재는 척도가 아니라고 분명히 말합니다. FIRST의 사용자 가이드도 기본 점수는 취약점의 심각도를 재도록 만든 것이며 그것만으로 위험을 판단하면 안 된다고 설명합니다.

CVSS 4.0에는 그 부분을 위한 다른 지표 그룹이 있습니다. 위협(Threat) 지표는 개념 증명 코드가 있는지, 실제 악용이 있는지 같은 요소로 점수를 조정하고, 환경(Environmental) 지표는 특정 조직의 시스템을 반영합니다. FIRST는 위협과 환경 정보는 소프트웨어를 쓰는 조직만 알 수 있으므로, 그 조직이 기본 지표에 더해 자신에게 맞는 점수를 내야 한다고 설명합니다. NVD는 기본 지표 평가만 제공한다고 밝힙니다.

누가 점수를 매겼는지도 중요합니다. PHP2Shell에 대해서는 세 공식 출처의 숫자가 다릅니다.

  • PHP 개발팀: 두 취약점 모두 CVSS 4.0 기준 9.2점, 치명적.
  • NVD 자체 평가, CVSS 3.1 기준: CVE-2026-109618은 9.8점, 치명적. CVE-2026-109619는 8.1점, 높음. 2026년 10월 23일 기준으로 NVD 자체의 4.0 평가는 없습니다.
  • Synology 권고문 Synology-SA-26:14: 두 취약점 모두 CVSS3 기본 점수 9.8점, 치명적.

벡터 문자열을 보면 어디서 갈리는지 알 수 있습니다. CVE-2026-109619에 대해 NVD는 공격 복잡성을 높음으로, Synology는 낮음으로 표시했습니다. 세 곳 가운데 어느 쪽도 두 취약점을 높음 아래로 두지 않았고, PHP 개발팀의 권고는 둘 다 업데이트하라는 것입니다.

자주 묻는 질문

CVE는 무엇의 줄임말인가요?

Common Vulnerabilities and Exposures입니다. 목록을 운영하는 CVE 프로그램은 자기 사이트에서 공개된 취약점을 식별하고 목록화하기 위한 국제적이고 커뮤니티 중심의 활동이라고 스스로를 소개합니다.

치명적 취약점이면 나에게도 비상인가요?

해당 소프트웨어를 쓸 때만 그렇습니다. 치명적 등급은 결함을 설명하는 것이고, NVD는 CVSS가 위험도의 척도가 아니라고 말합니다. PHP2Shell이라면 PHP를 쓰는 웹사이트나 기기를 운영하는 사람이 해당합니다. 어디를 보면 되는지는 PHP 버전 확인 방법에서 설명합니다.

CVSS 3.1과 4.0은 무엇이 다른가요?

NVD에 따르면 CVSS 3.x에는 기본, 시간(Temporal), 환경의 세 지표 그룹이 있고, 4.0에는 기본, 위협, 환경, 보충(Supplemental)의 네 그룹이 있습니다. 낮음, 중간, 높음, 치명적의 심각도 구간은 두 버전이 같습니다.

CVE 번호는 어디서 찾아보나요?

공식 CVE 레코드가 있는 cve.org와, NVD(nvd.nist.gov)에서 찾을 수 있습니다. NVD는 공개된 모든 CVE 레코드에 CVSS 정보를 보강한다고 설명하며, NVD 페이지에는 NVD와 CNA의 점수가 함께 나옵니다. KISA 보호나라의 보안공지에도 제품별 보안 업데이트 권고가 CVE 번호와 함께 올라옵니다.

CVE와 취약점은 같은 건가요?

조금 다릅니다. 취약점은 결함 자체이고, CVE ID는 그 결함에 붙인 이름표입니다. 결함 쪽은 취약점이란?에서 다룹니다.

출처