מה מקבלים מרשומת CVE
הרשומה מספקת נקודת ייחוס הכוללת תיאור וקישורים למידע נוסף. ארגונים המכונים CNA מקצים מזהים בתחומי אחריותם. NVD, מאגר של NIST, מוסיף מידע כגון סיווגים ונתוני חומרה לרשומות במסגרת תהליך נפרד.
המזהה נכתב במבנה CVE ולאחריו שנה ומספר. המספר אינו מדד לסיכון, ותאריך הרשומה אינו בהכרח תאריך תחילת החשיפה באתר שלכם. כדי לקבל החלטה צריך לעבור מהכותרת לתיאור המוצר, הגרסאות והתנאים.
איך מתאימים התראה למערכת שלכם
השתמשו במזהה לחיבור בין הודעת הספק, התראת כלי האבטחה ורשימת הרכיבים אצלכם. אם יש סתירה, שמרו את שני המקורות ומועדי העדכון ובקשו בירור. אין להעדיף אוטומטית את המספר הגבוה או את הדיווח הראשון שהגיע.
| שדה לבדיקה | מה לרשום | טעות נפוצה |
|---|---|---|
| מוצר ומפתח | שם מדויק ורכיב מותקן | התאמה לפי שם דומה בלבד |
| גרסאות | הגרסה בפועל מול הטווח המושפע | הנחה שכל גרסה פגיעה |
| תנאי ניצול | הרשאות, חשיפה ואפשרויות נדרשות | התעלמות מהתצורה באתר |
| פתרון | גרסת תיקון או צמצום חשיפה מתועד | הנחה שפרסום מזהה כולל גם תיקון |
| תוצאה מקומית | מושפע, לא מושפע או לא ידוע עם נימוק | בלבול בין חשיפה לבין פריצה בפועל |
למה CVE ו-CVSS הם דברים שונים
CVE עונה על השאלה באיזו חולשה מדובר. CVSS מתאר חומרה טכנית לפי מדדים; נתוני ניצול ותנאי העסק מוסיפים הקשר אחר. אתר יכול להכיל רכיב מושפע גם אם עדיין אין ציון זמין במקור שבו הסתכלתם.
לדוגמה, התראה על תוסף מסוים אינה רלוונטית אוטומטית לאתר רק משום שהוא בנוי בוורדפרס. קודם מאמתים שהתוסף והגרסה קיימים. זו דוגמת החלטה עקרונית, ולא תיאור של חולשה או לקוח מסוים.
מה עושים כשחסר מידע ב-NVD
באפריל 2026 הודיעה NIST שהיא מתעדפת העשרה של רשומות לפי קריטריונים, ובהם ניצול ידוע וחשיבות המוצר. היעדר העשרה מיידית אינו קביעה שהחולשה אינה משמעותית. ייתכן שהודעת הספק כוללת מידע שימושי לפני שהמאגר השלים את הניתוח.
אם הפרטים אינם מספיקים, תעדו את חוסר הוודאות, חפשו הודעת ספק ומידע מתוקן, והגדירו בעל אחריות לבירור. אל תסגרו משימה רק משום שאין מספר בעמוד. מצד שני, אין להמציא תנאי ניצול כשאלה טרם פורסמו.
איך הופכים מזהה למשימת תיקון
צרו רשומת עבודה קצרה: מזהה, נכסים מושפעים, מקור ההחלטה, פעולה, אחראי ותוצאת בדיקה. הפרידו בין סגירת החשיפה לבין בירור אם כבר התרחשה פגיעה. הרשומה צריכה להיות מובנת גם למי שלא קרא את ההתראה המקורית.
לאחר שינוי, אמתו את הגרסה והתפקוד ושמרו תיעוד. אם בוצעה רק הגבלה זמנית, ציינו מתי תיבחן מחדש. כך המזהה הופך לעוגן משותף לתקשורת עם הספק, במקום להישאר רשימת מספרים ללא משמעות תפעולית.