O que é CVE? Números CVE e notas CVSS explicados

WindowsMacAtualizado 2026-10-23

CVE é um número público de referência para uma falha de segurança divulgada, como a CVE-2026-109618, uma das duas falhas do PHP conhecidas como PHP2Shell. O programa CVE define o identificador CVE como uma sequência alfanumérica que identifica uma vulnerabilidade divulgada publicamente. A nota CVSS é outra coisa: uma medida de quão grave é essa falha, de 0 a 10. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

CVE é um identificador único para uma falha de segurança divulgada publicamente, para que todos falem do mesmo problema. CVSS é um sistema que dá uma nota de gravidade de 0,0 a 10,0. Notas de 9,0 para cima são classificadas como Críticas, então o 9,2 dado às duas falhas do PHP2Shell é Crítico.

O que é CVE?

CVE é a sigla de Common Vulnerabilities and Exposures. O programa CVE diz que a sua missão é identificar, definir e catalogar vulnerabilidades de cibersegurança divulgadas publicamente, e que existe um registro CVE para cada vulnerabilidade do catálogo. As perguntas frequentes do programa descrevem o identificador como a parte numérica do registro, no formato CVE-AAAA-NNNN.

A utilidade do número é garantir que pessoas e ferramentas estão falando da mesma falha. Quando o CTIR Gov, a agência americana CISA e o projeto PHP citam a CVE-2026-109619, todos se referem ao mesmo bug. O alerta do CTIR Gov sobre o PHP, por exemplo, identifica as duas falhas pelos seus registros na base CVE, com links para o cve.org e para a base americana NVD.

Quem dá o número CVE a uma falha?

Uma organização chamada CVE Numbering Authority, ou CNA. O programa CVE define a CNA como uma entidade autorizada, com um escopo específico, a atribuir identificadores CVE e publicar os registros correspondentes.

No caso do PHP2Shell, a CNA foi o próprio projeto PHP. Os registros CVE oficiais das duas falhas indicam o PHP como responsável pela atribuição, e mostram que ele reservou os dois identificadores em 12 de outubro de 2026 e publicou os registros em 21 de outubro, o dia em que as correções saíram.

O número CVE diz se a falha é grave?

Não. O número é só um identificador. As perguntas frequentes do programa CVE dizem que o formato do registro permite que as CNAs incluam o CVSS ou outras notas de gravidade quando publicam. Ou seja, a nota vem de quem escreve o registro, e é aí que entra o CVSS.

O que é CVSS?

CVSS é o Common Vulnerability Scoring System. O alerta do CTIR Gov o descreve como "uma metodologia aberta utilizada para avaliar e comunicar a gravidade de vulnerabilidades de segurança", com uma escala de 0,0 a 10,0 na métrica Base, e acrescenta: "Quanto maior a pontuação, maior a gravidade indicada por essa métrica."

O CVSS pertence à FIRST e é gerido por ela, uma organização sem fins lucrativos sediada nos Estados Unidos que, segundo a especificação, tem a missão de ajudar as equipes de resposta a incidentes de segurança do mundo todo. A especificação da versão 4.0 diz que o CVSS reúne as principais características técnicas das vulnerabilidades, e que os seus resultados incluem notas numéricas que indicam a gravidade de uma vulnerabilidade em relação às outras.

A nota mais citada costuma ser a Base. Ela vem com um vetor, um código curto que registra cada escolha por trás da nota. Para as duas falhas do PHP2Shell, ele é CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. AV:N quer dizer que a falha pode ser atacada pela rede, PR:N que não é preciso login, e VC:H, VI:H e VA:H que o impacto no sistema vulnerável é Alto. A FIRST exige que quem publica uma nota CVSS publique também o vetor, para que os outros vejam como ela foi calculada. O guia sobre execução remota de código explica o que essas notas de impacto significam na prática.

O que significa uma nota CVSS de 9,2?

Significa Crítica. A especificação da FIRST liga cada nota a uma classificação de gravidade, e a NVD usa as mesmas faixas:

Nenhuma: 0,0
Baixa: 0,1 a 3,9
Média: 4,0 a 6,9
Alta: 7,0 a 8,9
Crítica: 9,0 a 10,0

O projeto PHP deu 9,2 às duas falhas do PHP2Shell, CVE-2026-109618 e CVE-2026-109619, no CVSS v4.0, o que as coloca na faixa Crítica. A FIRST diz que as faixas existem para ajudar as organizações a avaliar e priorizar corretamente a gestão de vulnerabilidades.

Por que a nota não conta a história toda?

Porque a nota Base mede a gravidade da falha, não o risco que ela representa para você. A NVD diz claramente que o CVSS não é uma medida de risco. O guia de uso da FIRST diz que as notas Base foram feitas para medir a gravidade de uma vulnerabilidade e não devem ser usadas sozinhas para avaliar o risco.

O CVSS v4.0 tem outros grupos de métricas para isso. As métricas de Ameaça ajustam a nota por fatores como a existência de código de prova de conceito ou de exploração ativa, e as Ambientais refletem os sistemas de cada organização. A FIRST diz que as informações de Ameaça e Ambientais só estão disponíveis para quem usa o software, que deve somá-las às métricas Base para chegar a uma nota própria. A NVD diz que avalia apenas as métricas Base.

O alerta do CTIR Gov também cita dois indicadores ligados à exploração. O catálogo KEV, da CISA, reúne vulnerabilidades com evidências de exploração ativa, e no alerta sobre o PHP o CTIR Gov deixou esse campo como "a confirmar em consulta à base oficial". O EPSS estima a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias e, segundo o CTIR Gov, deve ser lido como um indicador de probabilidade, não como confirmação de exploração.

E há a questão de quem deu a nota. Para o PHP2Shell, três fontes oficiais dão números diferentes:

O projeto PHP: 9,2, Crítica, para as duas falhas, no CVSS v4.0.
A avaliação da própria NVD no CVSS v3.1: 9,8, Crítica, para a CVE-2026-109618, e 8,1, Alta, para a CVE-2026-109619. Em 23 de outubro de 2026, a NVD não mostra uma avaliação própria no v4.0.
O comunicado Synology-SA-26:14, da Synology: nota Base CVSS3 de 9,8, Crítica, para as duas.

Os vetores mostram onde está a diferença. Para a CVE-2026-109619, a NVD marca a complexidade do ataque como Alta e a Synology como Baixa. Nenhuma das três coloca qualquer uma das falhas abaixo de Alta, e a orientação do projeto PHP para as duas é atualizar.

Mais perguntas

O que significa a sigla CVE?

Common Vulnerabilities and Exposures. O programa CVE, que mantém a lista, se descreve no próprio site como um esforço internacional, conduzido pela comunidade, para identificar e catalogar vulnerabilidades divulgadas publicamente.

Uma vulnerabilidade crítica é uma emergência para mim?

Só se você usa o software afetado. A classificação Crítica descreve a falha, e a NVD diz que o CVSS não mede risco. No caso do PHP2Shell, isso vale para quem tem sites ou aparelhos que usam PHP. O guia como verificar a versão do PHP do seu site mostra onde olhar.

Qual é a diferença entre o CVSS 3.1 e o 4.0?

A NVD diz que o CVSS v3.x tem três grupos de métricas (Base, Temporal e Ambiental), enquanto o v4.0 tem quatro (Base, Ameaça, Ambiental e Suplementar). As faixas de gravidade Baixa, Média, Alta e Crítica são as mesmas nas duas versões.

Onde consulto um número CVE?

No cve.org, que guarda os registros CVE oficiais, e na NVD, em nvd.nist.gov. A NVD diz que enriquece com CVSS todos os registros CVE publicados, e as páginas dela mostram as notas da própria NVD e da CNA.

CVE e vulnerabilidade são a mesma coisa?

Não exatamente. A vulnerabilidade é a falha em si, e o identificador CVE é o rótulo dela. O guia o que é vulnerabilidade? trata do lado da falha.