Wat is een CVE? CVE-nummers en CVSS-scores uitgelegd

WindowsMacBijgewerkt 2026-10-24

Een CVE is een openbaar referentienummer voor één bekendgemaakt beveiligingslek, zoals CVE-2026-109618, een van de twee PHP-lekken die samen PHP2Shell heten. Het CVE-programma omschrijft een CVE-ID als "an alphanumeric string that identifies a Publicly Disclosed vulnerability", een code van letters en cijfers voor een openbaar gemaakte kwetsbaarheid. Een CVSS-score is iets anders: een oordeel over hoe ernstig dat lek is, van 0 tot 10. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Een CVE is een uniek nummer voor één openbaar gemaakt beveiligingslek, zodat iedereen naar hetzelfde probleem kan verwijzen. CVSS is een scoresysteem dat de ernst van het lek beoordeelt van 0,0 tot 10,0. Vanaf 9,0 heet een lek kritiek, dus de 9,2 die beide PHP2Shell-lekken kregen, is kritiek. Het Nederlandse NCSC geeft in zijn advies over PHP2Shell geen CVSS-score.

Wat is een CVE?

CVE staat voor Common Vulnerabilities and Exposures. Het CVE-programma zegt dat het openbaar gemaakte kwetsbaarheden wil identificeren, omschrijven en catalogiseren, en dat er voor elke kwetsbaarheid in de catalogus één CVE-record is. In de veelgestelde vragen staat dat het CVE-ID het nummerdeel van dat record is, in de vorm CVE-JJJJ-NNNN.

Het nut van zo'n nummer is dat mensen en programma's zeker weten dat ze hetzelfde lek bedoelen. Als het Nederlandse NCSC, het Amerikaanse agentschap CISA en het PHP-project allemaal CVE-2026-109619 noemen, hebben ze het over precies dezelfde fout.

Wie geeft een lek zijn CVE-nummer?

Een organisatie die een CVE Numbering Authority heet, of CNA. Het CVE-programma omschrijft een CNA als een erkende partij die binnen haar eigen terrein CVE-ID's toekent en de bijbehorende CVE-records publiceert.

Bij PHP2Shell was de CNA het PHP-project zelf. De officiële CVE-records van beide lekken noemen het PHP-project als toekenner, en laten zien dat het beide nummers op 12 oktober 2026 reserveerde en de records op 21 oktober publiceerde, de dag waarop de oplossingen uitkwamen.

Zegt een CVE-nummer hoe ernstig een lek is?

Nee. Het nummer is alleen een label. De veelgestelde vragen van het CVE-programma zeggen dat CNA's dankzij het recordformaat "CVSS or other severity rating scores" in hun records kunnen opnemen als ze die publiceren. De score komt dus van wie het record schrijft, en daar komt CVSS in beeld.

Wat is CVSS?

CVSS is het Common Vulnerability Scoring System. Het is eigendom van FIRST, dat het ook beheert, en de specificatie omschrijft FIRST als een Amerikaanse non-profitorganisatie die teams voor de afhandeling van beveiligingsincidenten over de hele wereld wil helpen. Volgens de specificatie van versie 4.0 legt CVSS de belangrijkste technische kenmerken van kwetsbaarheden vast, en geeft het onder meer cijfers die de ernst van een kwetsbaarheid aangeven ten opzichte van andere kwetsbaarheden.

Het cijfer dat je meestal ziet, is de Base-score, van 0,0 tot 10,0. Die komt met een vectorstring, een korte code die elke keuze achter de score vastlegt. Voor beide PHP2Shell-lekken luidt die CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. AV:N betekent dat het lek via een netwerk kan worden aangevallen, PR:N dat er geen login nodig is, en VC:H, VI:H en VA:H dat de impact op het kwetsbare systeem hoog is. FIRST vraagt iedereen die een CVSS-score publiceert ook de vectorstring te geven, zodat anderen kunnen zien hoe de score tot stand kwam.

Onze gids over remote code execution legt uit wat die impactwaarden in de praktijk betekenen.

Wat betekent een CVSS-score van 9,2?

Kritiek. De specificatie van FIRST koppelt elke score aan een ernstniveau, en de Amerikaanse National Vulnerability Database (NVD) gebruikt dezelfde grenzen:

Geen: 0,0
Laag: 0,1 tot 3,9
Gemiddeld: 4,0 tot 6,9
Hoog: 7,0 tot 8,9
Kritiek: 9,0 tot 10,0

Het PHP-project gaf beide PHP2Shell-lekken, CVE-2026-109618 en CVE-2026-109619, een 9,2 volgens CVSS versie 4.0. Dat valt in de categorie kritiek. FIRST zegt dat die niveaus organisaties helpen hun aanpak van kwetsbaarheden goed te beoordelen en prioriteiten te stellen.

Hoe beoordeelt het Nederlandse NCSC een lek?

In zijn advies niet met een CVSS-score. Het advies NCSC-2026-0443 over PHP2Shell noemt geen CVSS-score. In de tekst- en dataversie van het advies staan de kans en de schade allebei op "high", en op de webpagina staat de prioriteit op "Hoog".

Het NCSC legt uit dat zo'n advies drie vragen beantwoordt: wat er aan de hand is, wat de impact is, met de mogelijke gevolgen voor de vertrouwelijkheid, integriteit of beschikbaarheid van je systemen, en wat je moet doen. Het schrijft dat de adviezen vooral bedoeld zijn voor beveiligingsprofessionals, zoals systeembeheerders en IT-managers.

Daarnaast heeft het NCSC een database met kwetsbaarheden, vulnerabilities.ncsc.nl, met een eigen NCSC-score per CVE-nummer. Volgens het NCSC wordt die score automatisch berekend met machine learning, weegt die onder meer CVSS-informatie, getroffen producten en gerelateerd nieuws, en geeft die een inschatting van de relevantie voor Nederlandse organisaties.

Waarom zegt de score niet alles?

Omdat de Base-score de ernst van een lek meet, niet het risico voor jou. De NVD schrijft het zonder omwegen: "CVSS is not a measure of risk". De gebruikershandleiding van FIRST zegt dat Base-scores de ernst meten en niet als enige maatstaf moeten dienen om risico in te schatten.

CVSS 4.0 heeft daar andere groepen voor. De Threat-waarden passen een score aan voor zaken als het bestaan van proof-of-concept-code of actief misbruik, en de Environmental-waarden gaan over de eigen systemen van een organisatie. FIRST zegt dat die informatie alleen beschikbaar is voor de organisaties die de software gebruiken, en dat zij haar aan de Base-waarden moeten toevoegen voor een score die bij hen past. De NVD zegt dat het alleen de Base-waarden beoordeelt.

Dan is er nog de vraag wie de score gaf. Voor PHP2Shell geven drie officiële bronnen verschillende cijfers:

Het PHP-project: 9,2, kritiek, voor beide lekken, volgens CVSS 4.0.
De eigen beoordeling van de NVD volgens CVSS 3.1: 9,8, kritiek, voor CVE-2026-109618, en 8,1, hoog, voor CVE-2026-109619. Tot en met 23 oktober 2026 toont de NVD geen eigen beoordeling volgens versie 4.0.
Het advies Synology-SA-26:14 van Synology: een CVSS3-score van 9,8, kritiek, voor beide lekken.

De vectorstrings laten zien waar ze verschillen. Voor CVE-2026-109619 zet de NVD de aanvalscomplexiteit op hoog en Synology op laag. Geen van de drie zet een van beide lekken onder hoog, en het advies van het PHP-project voor beide is: updaten.

Meer vragen

Waar staat CVE voor?

Voor Common Vulnerabilities and Exposures. Het CVE-programma, dat de lijst bijhoudt, omschrijft zichzelf op zijn eigen site als een internationale inspanning, gedragen door een gemeenschap, om openbaar gemaakte kwetsbaarheden te identificeren en te catalogiseren.

Is een kritieke kwetsbaarheid voor mij een noodgeval?

Alleen als je de getroffen software gebruikt. Kritiek zegt iets over het lek, en de NVD zegt dat CVSS geen maatstaf voor risico is. Bij PHP2Shell gaat het om mensen die websites of apparaten met PHP beheren. Onze gids om de PHP-versie van je website te controleren laat zien waar je kijkt.

Wat is het verschil tussen CVSS 3.1 en 4.0?

De NVD zegt dat CVSS 3.x drie groepen waarden heeft (Base, Temporal en Environmental) en versie 4.0 vier (Base, Threat, Environmental en Supplemental). De grenzen voor laag, gemiddeld, hoog en kritiek zijn in beide gelijk.

Waar zoek ik een CVE-nummer op?

Op cve.org, waar de officiële CVE-records staan, en in de NVD op nvd.nist.gov. De NVD zegt dat het alle gepubliceerde CVE-records aanvult met CVSS-gegevens, en de pagina's tonen scores van zowel de NVD als de CNA. Het NCSC verwijst vanuit zijn advies per CVE-nummer naar vulnerabilities.ncsc.nl.

Is een CVE hetzelfde als een kwetsbaarheid?

Niet helemaal. De kwetsbaarheid is de fout zelf, en het CVE-ID is het label ervoor. Onze gids wat is een kwetsbaarheid? gaat over de fout zelf.