Bogstaverne, oversat
CVE står for Common Vulnerabilities and Exposures, løst oversat kendte sårbarheder og svagheder. Ikke et stykke software, men et opslagssystem. Hver gang der findes en ny sikkerhedsfejl i et kendt produkt, får den et unikt nummer, så alle i verden kan henvise til præcis den samme fejl.
Et CVE-ID ser sådan ud: CVE-2026-56216. Første del er året, anden del et løbenummer. Systemet drives af den amerikanske non-profit MITRE, og de tekniske detaljer samles i NIST’s National Vulnerability Database. Når Microsoft, Fortinet eller WordPress melder en fejl, er det dette ID, alle refererer til, fra sikkerhedsforskere til myndigheder.
Sådan er en CVE bygget op
En CVE er mere end et nummer. Hver post indeholder typisk:
- En beskrivelse af, hvad fejlen er, og hvordan den kan udnyttes.
- En CVSS-score fra 0 til 10, der angiver hvor alvorlig fejlen er.
- Ramte produkter og versioner, altså hvilke systemer der er sårbare.
- Henvisninger til leverandørens rettelse eller til midlertidige løsninger.
Tilsammen giver det et fælles sprog, så den samme sårbarhed kan forstås og håndteres ens på tværs af lande og leverandører.
NVD og EUVD
De tekniske detaljer samles primært to steder. I USA er NVD i mange år været den centrale kilde. I EU lancerede cybersikkerhedsagenturet ENISA i 2025 sin egen EUVD, oprettet som en del af NIS2-direktivet. Den samler sårbarhedsdata med fokus på det europæiske marked og oplyser blandt andet, hvilke fejl der aktivt bliver udnyttet.
For jer betyder det, at der nu findes en europæisk kilde ved siden af den amerikanske. Det er relevant, fordi NIS2 og EU’s øvrige cyberregler stiller stigende krav til, at I holder styr på sårbarheder.
Hvorfor de er svære at bruge
Systemet fejler ikke. Mængden og sproget gør.
Der offentliggøres tusindvis af nye CVE’er hver måned, og langt de fleste beskrivelser er på engelsk og skrevet til sikkerhedseksperter. For en almindelig virksomhed er det svært at vide, hvilke der overhovedet er relevante, og mindst lige så svært at forstå, hvad man konkret skal gøre.
Resultatet er, at vigtige sårbarheder drukner i støj. En kritisk fejl i et system, I faktisk bruger, kan ligge side om side med tusind poster om software, I aldrig har hørt om.
Sådan gør Auroa CVE’er forståelige
Vi indhenter løbende nye sårbarheder direkte fra NIST’s officielle database og filtrerer dem, der rammer de systemer, danske virksomheder rent faktisk bruger. Microsoft 365, WordPress, Fortinet, firewalls og lignende.
De relevante oversætter vi til klart dansk og koger dem ned til tre ting. Hvad fejlen er, hvad den betyder for jer, og hvad I skal gøre nu.
Hvem der bør holde øje
Enhver virksomhed, der bruger IT, hvilket i praksis vil sige alle.
I behøver ikke læse hver eneste CVE. Men nogen bør holde øje med de sårbarheder, der rammer netop jeres systemer. Det sker bedst gennem løbende overvågning, så I får besked, når noget relevant dukker op, frem for at finde ud af det, når skaden er sket. Den overvågning leverer vi under systemovervågning.