Common Vulnerabilities and Exposures
Common Vulnerabilities and Exposures (CVE) (tạm dịch: Các lỗ hổng và điểm phơi nhiễm bảo mật phổ biến) là hệ thống tiêu chuẩn toàn cầu dùng để xác định, đặt tên và công khai các lỗ hổng bảo mật trong phần mềm, phần cứng và hệ thống công nghệ thông tin. Mỗi lỗ hổng được gán một mã định danh duy nhất theo định dạng CVE-YYYY-NNNNN (ví dụ: CVE-2024-56789), kèm theo mô tả tóm tắt, thông tin về sản phẩm bị ảnh hưởng và các tham chiếu liên quan. Hệ thống CVE hoạt động như một “từ điển chung” giúp các tổ chức, nhà cung cấp, nhà nghiên cứu và chuyên gia an ninh mạng trên toàn thế giới có thể trao đổi thông tin một cách chính xác, thống nhất và hiệu quả.[1]
Lịch sử
Trước khi CVE ra đời, mỗi nhà cung cấp phần mềm hay tổ chức bảo mật thường sử dụng cách đặt tên và theo dõi lỗ hổng riêng biệt, dẫn đến tình trạng hỗn loạn, khó phối hợp và so sánh. CVE được khởi xướng vào năm 1999 bởi MITRE Corporation với sự hỗ trợ của chính phủ Hoa Kỳ nhằm giải quyết vấn đề này. Hệ thống nhanh chóng trở thành tiêu chuẩn thực tế (de facto standard) trong ngành an ninh mạng toàn cầu.[2]
Hiện nay, chương trình CVE được quản lý bởi MITRE và có sự tham gia của hàng trăm tổ chức CNA (CVE Numbering Authority) trên khắp thế giới, cho phép họ trực tiếp gán CVE-ID cho các lỗ hổng.[3]
Cách thức hoạt động
CVE không phải là cơ sở dữ liệu đánh giá mức độ nghiêm trọng (nhiệm vụ này thuộc về CVSS - Common Vulnerability Scoring System), mà chủ yếu cung cấp danh tính và mô tả chuẩn hóa cho từng lỗ hổng. Khi một lỗ hổng được công bố, CNA sẽ gán CVE-ID và công khai thông tin. Dữ liệu CVE sau đó được đồng bộ với National Vulnerability Database (NVD) của NIST để bổ sung phân tích chi tiết hơn.[4]
Nhờ cơ chế này, các công cụ quét lỗ hổng, hệ thống quản lý bản vá và nền tảng bảo mật có thể dễ dàng tích hợp, tự động hóa quy trình phát hiện và xử lý rủi ro một cách chính xác. [5]
Tầm quan trọng của CVE
Việc sử dụng CVE giúp rút ngắn thời gian phản ứng với các lỗ hổng nghiêm trọng, giảm nguy cơ bị khai thác bởi tin tặc và hỗ trợ các tổ chức tuân thủ các tiêu chuẩn bảo mật quốc tế. CVE tạo ra ngôn ngữ chung cho cộng đồng an ninh mạng, cho phép các bên dễ dàng phối hợp khắc phục và chia sẻ thông tin mà không bị nhầm lẫn.[1][3]
Tình hình hiện tại
Tính đến năm 2026, CVE đã ghi nhận hơn 355.000 bản ghi lỗ hổng công khai. Năm 2025 ghi nhận kỷ lục với khoảng 48.185 CVE mới được công bố. Chương trình tiếp tục được tài trợ bởi CISA (Cơ quan An ninh mạng và An ninh Hạ tầng Hoa Kỳ) thuộc Bộ An ninh Nội địa Mỹ và vẫn giữ vai trò then chốt trong hệ sinh thái an ninh mạng toàn cầu.[6]
Tham khảo
- ^ a b Goodwin, Tasmiha Khan, Michael (ngày 22 tháng 7 năm 2024). "What Is CVE (Common Vulnerabilities and Exposures)? | IBM". www.ibm.com (bằng tiếng Anh). Truy cập ngày 3 tháng 6 năm 2026.
{{Chú thích web}}: Quản lý CS1: nhiều tên: danh sách tác giả (liên kết) - ^ "What is a CVE?". www.redhat.com (bằng tiếng Anh). Truy cập ngày 3 tháng 6 năm 2026.
- ^ a b www.cve.org https://www.cve.org/. Truy cập ngày 3 tháng 6 năm 2026.
{{Chú thích web}}:|title=trống hay bị thiếu (trợ giúp) - ^ Watts, Shanika Wickramasinghe, Stephen (ngày 22 tháng 7 năm 2024). "The CVE & CVE Management, Explained". Splunk (bằng tiếng Anh). Truy cập ngày 3 tháng 6 năm 2026.
{{Chú thích web}}: Quản lý CS1: nhiều tên: danh sách tác giả (liên kết) - ^ "What is a CVE and Why is It Important?". SecurityScorecard (bằng tiếng Anh). Truy cập ngày 3 tháng 6 năm 2026.
- ^ "NVD - Vulnerabilities". nvd.nist.gov. Truy cập ngày 3 tháng 6 năm 2026.