CVSS en CVE uitgelegd: welke kwetsbaarheid moet eerst?

Een scanrapport met veertig “kritieke” bevindingen leidt zelden tot veertig oplossingen. Meestal leidt het tot uitstel, omdat niemand weet waar te beginnen. Het probleem zit vaak niet in het aantal bevindingen, maar in de manier waarop ze gerangschikt worden: op de CVSS-score, een getal dat iets anders meet dan de meeste lezers denken.

Dit artikel legt uit wat een CVE en een CVSS-score zijn, wat de KEV-lijst en de EPSS-score daaraan toevoegen, en hoe u met die vier samen beslist wat deze week moet en wat tot het volgende onderhoud kan wachten. Met drie echte kwetsbaarheden als voorbeeld.

In het kort

• Een CVE is het unieke nummer van een kwetsbaarheid; de CVSS-score (0,0 tot 10,0) meet hoe ernstig ze technisch is, niet hoe waarschijnlijk een aanval is.
• De KEV-catalogus van het Amerikaanse CISA bevatte op 25 september 2026 1.726 kwetsbaarheden waarvan bewezen is dat ze actief misbruikt worden, waarvan 361 bij ransomware.
• EPSS schat de kans dat een kwetsbaarheid binnen dertig dagen misbruikt wordt; KEV bevestigt dat het al gebeurt.
• Een kwetsbaarheid in de KEV-lijst op een systeem dat vanaf het internet bereikbaar is, gaat voor op elke hoge score zonder bewezen misbruik.
• Veel bevindingen uit een pentest hebben geen CVE-nummer, omdat ze in uw eigen software of instellingen zitten. Ze zijn daarom niet minder dringend.

Wat is het verschil tussen een CVE en een CVSS-score?

Een CVE (Common Vulnerabilities and Exposures) is het unieke registratienummer van één specifieke kwetsbaarheid in software, zoals CVE-2024-40711. De CVSS-score (Common Vulnerability Scoring System) is een getal van 0,0 tot 10,0 dat de technische ernst van die kwetsbaarheid uitdrukt. De CVE zegt welk lek het is; de CVSS-score zegt hoe erg het kan worden.

Twee andere begrippen maken het beeld pas bruikbaar. De tabel zet de vier naast elkaar.

Waarom een CVSS 9.8 niet altijd eerst moet

Hier gaan de meeste rangschikkingen fout. De basisscore van CVSS beschrijft de ernst in het slechtste geval, zonder rekening te houden met uw omgeving en zonder te weten of iemand de kwetsbaarheid al misbruikt. Drie echte voorbeelden, met de waarden zoals ze op 27 september 2026 in de NVD, de KEV-catalogus en de EPSS-databank stonden:

SharePoint. Wie filtert op de score van de leverancier, ziet een 5,3 en laat de update liggen. De NVD kwam uit op 9,8, en CISA bevestigde actief misbruik. Dat de EPSS-score vandaag maar 1,0 procent is, doet daar niets aan af: EPSS is een voorspelling, de KEV-vermelding is een vaststelling.

Veeam. Hier wijzen alle signalen dezelfde kant op: maximale ernst, bewezen misbruik, bekend gebruik door ransomwaregroepen en een EPSS van 90,4 procent. Dat de back-upserver niet vanaf het internet bereikbaar is, biedt weinig troost. Aanvallers die al binnen zijn, zoeken net die server op om de back-ups te wissen.

Windows-wifi. Een hoge score, maar de aanvaller moet fysiek binnen het bereik van het draadloze netwerk zijn, de kwetsbaarheid staat niet in de KEV-lijst en de EPSS-score is laag. Belangrijk om te patchen, maar niet voor de twee andere.

Hoe rekent CVSS, en wat veranderde er in versie 4.0?

FIRST publiceerde CVSS 4.0 in november 2023. De belangrijkste verschuiving: de basisscore meet uitdrukkelijk alleen de inherente ernst en mag niet zonder context als risico gelezen worden. De kwalitatieve schaal bleef gelijk: 0,1 tot 3,9 is laag, 4,0 tot 6,9 gemiddeld, 7,0 tot 8,9 hoog en 9,0 tot 10,0 kritiek.

In de praktijk ziet u in rapporten en databanken nog vaak versie 3.1. Belangrijker dan de versie is dat u weet welke score u leest: die van de leverancier, die van de NVD, of een score die al rekening houdt met uw omgeving.

Wat voegen de KEV-lijst en EPSS toe?

De Known Exploited Vulnerabilities-catalogus van het Amerikaanse CISA vermeldt alleen kwetsbaarheden waarvan betrouwbaar bewezen is dat ze in de praktijk misbruikt worden. Op 25 september 2026 stonden er 1.726 in, waarvan 361 met bekend gebruik bij ransomware. In 2025 kwamen er 245 bij, in 2026 tot eind september al 242. Amerikaanse overheidsdiensten krijgen per nieuwe vermelding een hersteltermijn opgelegd, bij recente vermeldingen meestal 21 dagen.

EPSS kijkt vooruit: het berekent de kans dat een kwetsbaarheid binnen de komende dertig dagen misbruikt wordt. Dat is nuttig omdat volgens FIRST en het Cyentia Institute slechts een kleine minderheid van alle kwetsbaarheden ooit echt misbruikt wordt, in hun analyse ongeveer 5 procent. Wie alles boven 7,0 even dringend behandelt, besteedt het grootste deel van zijn tijd aan lekken die nooit aangevallen worden.

Waarom de NVD niet altijd een score heeft

Sinds februari 2024 kampt de Amerikaanse National Vulnerability Database met een achterstand bij het verrijken van nieuwe CVE’s met scores en productgegevens. Scanners die op de NVD steunen, missen daardoor soms informatie. Europa bouwt een eigen bron op: ENISA lanceerde op 13 mei 2025 de European Vulnerability Database (EUVD), met een eigen lijst van actief misbruikte kwetsbaarheden. Sinds 11 september 2026 moeten fabrikanten onder de meldplicht van de Cyber Resilience Act actief misbruikte kwetsbaarheden bovendien bij ENISA melden.

Een triageschema in vier niveaus voor een bedrijf zonder securityteam

Onderstaand schema is een werkbare aanpak, geen wettelijke norm. Het combineert de vier signalen in een vaste volgorde, zodat u niet bij elke bevinding opnieuw hoeft te beslissen.

1. Staat de kwetsbaarheid in de KEV-lijst of in een waarschuwing van het CCB, en is het systeem vanaf het internet bereikbaar? Dan is het niveau 1: binnen één à twee dagen patchen, of de toegang tot het systeem tijdelijk afsluiten tot de patch er is.
2. Staat ze in de KEV-lijst op een intern maar bedrijfskritisch systeem, zoals een back-upserver of een identiteitssysteem, of combineert ze een EPSS boven 10 procent met een CVSS vanaf 7,0? Dan is het niveau 2: binnen één à twee weken, buiten de gewone updatecyclus.
3. Hoge CVSS, maar geen KEV-vermelding, lage EPSS en alleen intern bereikbaar? Niveau 3: mee in de maandelijkse updateronde.
4. Lage score, geen bekend misbruik? Niveau 4: bij de volgende grote update, of schriftelijk aanvaard als restrisico in uw risicoregister.

Dat laatste is geen detail. De Belgische NIS2-wet en CyberFundamentals vragen geen perfecte patchstatus, maar wel dat u aantoonbaar en herhaalbaar beslist. Een schema als dit, met een datum en een naam bij elke beslissing, is precies dat bewijs. Hoe u het opneemt in een vast updateritme, leest u in ons artikel over patchmanagement voor kmo’s. Voor een actueel voorbeeld van een systeem dat helemaal geen patches meer krijgt, zie ons artikel over Windows 10 na 13 oktober 2026.

Wat doet u met pentestbevindingen zonder CVE-nummer?

Een CVE-nummer wordt alleen toegekend aan kwetsbaarheden in software die publiek verspreid wordt. Een fout in uw eigen klantenportaal, een ontbrekende controle op wie welke factuur mag downloaden of een verkeerd ingestelde beheeromgeving heeft geen CVE, omdat ze alleen bij u bestaat. In de pentestbenchmark die we in september bespraken, had volgens Astra Security 91 procent van de kritieke applicatiefouten geen CVE (zie de kwetsbaarheden die pentesters het vaakst vonden).

Pentesters scoren zulke bevindingen met een eigen CVSS-vector of met een methode zoals het OWASP Risk Rating-model. Voor de prioriteit geldt dezelfde logica als hierboven: een autorisatiefout in een klantenportaal dat vanaf het internet bereikbaar is en persoonsgegevens bevat, is niveau 1, ook zonder nummer. Hoe u de bevindingen in een concreet rapport leest, staat in ons artikel over het interpreteren van een pentestrapport.

“CVSS is waardeloos, kijk alleen naar misbruik”

Die stelling hoort u vaak op beheerdersfora, en ze heeft een punt. Slechts een klein deel van de kwetsbaarheden wordt ooit misbruikt, aanvallers kiezen vaak eenvoudige lekken met een middelmatige score, en de achterstand bij de NVD maakt scores soms onbetrouwbaar. Maar wie alleen op de KEV-lijst stuurt, reageert pas nadat de eerste slachtoffers gevallen zijn: een kwetsbaarheid komt er pas op als misbruik is vastgesteld. CVSS geeft aan hoe groot de schade is als het misgaat. De twee vullen elkaar aan: CVSS voor de mogelijke schade, KEV en EPSS voor de urgentie.

Welke bevinding moet bij u eerst?

Een rapport met veertig kritieke bevindingen is pas nuttig als u weet welke vijf deze week moeten. Cyberplan voert penetratietesten uit waarin elke bevinding een prioriteit krijgt op basis van uw omgeving, niet alleen op basis van een score. In een vrijblijvend gesprek bekijken we samen welke test bij uw situatie past, of hoe u de rapporten die u al hebt kunt omzetten in een werklijst.

Veelgestelde vragen

Wat is het verschil tussen een CVE en een CVSS-score?

Een CVE is het unieke registratienummer van een specifieke kwetsbaarheid, zoals CVE-2024-40711. De CVSS-score is een getal van 0,0 tot 10,0 dat de technische ernst ervan uitdrukt. De CVE identificeert het lek, de CVSS-score beschrijft hoe groot de schade kan zijn als het misbruikt wordt.

Moet elke kwetsbaarheid met een CVSS-score boven 9,0 meteen gepatcht worden?

Niet altijd. Een kwetsbaarheid met een lagere score die in de KEV-lijst staat en op een systeem zit dat vanaf het internet bereikbaar is, is vaak dringender. Kijk naast de score naar bewezen misbruik, de EPSS-kans en de bereikbaarheid en het belang van het systeem.

Waar controleer ik of een kwetsbaarheid actief misbruikt wordt?

In de Known Exploited Vulnerabilities-catalogus van het Amerikaanse CISA, die op 25 september 2026 1.726 kwetsbaarheden bevatte. ENISA houdt in de European Vulnerability Database een Europese lijst bij, en het CCB verspreidt waarschuwingen over kwetsbaarheden die Belgische organisaties raken.

Wat meet een EPSS-score?

EPSS, het Exploit Prediction Scoring System van FIRST, schat de kans dat een kwetsbaarheid binnen de komende dertig dagen misbruikt wordt, uitgedrukt als percentage. Het is een voorspelling. Staat een kwetsbaarheid al in de KEV-lijst, dan is misbruik bewezen en weegt dat zwaarder dan een lage EPSS-score.

Wat veranderde er in CVSS 4.0?

CVSS 4.0, gepubliceerd door FIRST in november 2023, vervangt de metriek “Scope” door aparte impactscores voor het kwetsbare systeem en de systemen erachter, voegt “Attack Requirements” toe en introduceert aanvullende context zoals fysieke veiligheid. De schaal van laag tot kritiek bleef gelijk.

Waarom heeft een pentestbevinding soms geen CVE-nummer?

CVE-nummers worden alleen toegekend aan kwetsbaarheden in publiek verspreide software. Fouten in uw eigen applicaties, autorisatieregels of instellingen bestaan alleen bij u en krijgen daarom geen nummer. Ze worden gescoord op basis van bereikbaarheid en de gevoeligheid van de gegevens, en zijn daardoor niet minder dringend.