CVE, CVSS, EPSS, KEV: čo znamenajú skratky a čo z nich vyplýva pre malú firmu

Keď vyjde nová zraniteľnosť, malá firma nepotrebuje akademickú prednášku — potrebuje vedieť čo s tým a dokedy. Na to slúžia štyri skratky. Každá odpovedá na inú otázku a spolu z nich vznikne jasné rozhodnutie. Poďme si ich prejsť bežnou rečou a ukázať, ako z nich robíme jeden verdikt.

CVE — o ktorú zraniteľnosť ide

CVE (Common Vulnerabilities and Exposures) je jednoducho identifikátor, napríklad CVE-2026-1234. Je to celosvetový katalóg verejne známych zraniteľností, aby o „tej istej diere" hovorili všetci rovnako. CVE samo osebe nehovorí, aké je to vážne ani či to niekto zneužíva — je to len meno. Detaily (CVSS, popis, opravené verzie) sa naň nabaľujú z databáz ako NVD či OSV.dev.

CVSS — aké je to zlé

CVSS (Common Vulnerability Scoring System) je skóre závažnosti od 0 do 10. Vyjadruje, aký veľký dopad by malo zneužitie: obvykle sa delí na Low, Medium (≥ 4,0), High (≥ 7,0) a Critical (≥ 9,0). Odpovedá na otázku „ako zle by dopadlo, keby to niekto využil" — ale nie na to, či to niekto naozaj využíva. Vysoké CVSS na komponente, ktorý zraniteľnú funkciu vôbec nevoláte, môže byť v praxi menší problém než stredné CVSS priamo vo vašej vstupnej ceste.

EPSS — ako pravdepodobne to niekto využije

EPSS (Exploit Prediction Scoring System, od organizácie FIRST) je pravdepodobnosť od 0 do 1, že daná zraniteľnosť bude zneužitá v najbližšom období. 0,02 znamená ~2 %, 0,7 znamená ~70 %. Kým CVSS hovorí aké zlé, EPSS hovorí ako pravdepodobné. Práve kombinácia oboch je užitočnejšia než ktorékoľvek z nich samostatne — vysoká závažnosť s vysokou pravdepodobnosťou je iná liga než vysoká závažnosť s takmer nulovou pravdepodobnosťou.

KEV — kto to už reálne zneužíva

KEV (Known Exploited Vulnerabilities) je verejný katalóg americkej agentúry CISA, ktorý obsahuje zraniteľnosti aktívne zneužívané v reálnom svete. Ak je CVE v KEV, nie je to teoretické riziko — niekto to naozaj používa na útoky. Pre CRA je to kľúčové: povinnosť hlásiť podľa čl. 14 sa viaže práve na aktívne zneužívanú zraniteľnosť. KEV zápis týkajúci sa komponentu vo vašom produkte je preto možný spúšťač 24-hodinového hlásenia — s výhradou, že či je zneužívaná práve vo vašom produkte, posudzujete vy.

Ako z toho robíme jeden verdikt

Štyri čísla sú pekné, ale rozhodnutie musí byť jedno. My ich preto zlievame do troch verdiktov — Rieš teraz, Naplánuj, Informatívne — podľa pevného poradia pravidiel (prvá zhoda vyhráva):

1. Zraniteľnosť je v KEV → Rieš teraz (aktívne zneužívaná).
2. CVSS ≥ 9,0 → Rieš teraz (kritická závažnosť).
3. CVSS ≥ 7,0 a zároveň EPSS ≥ 0,10 → Rieš teraz (vysoká závažnosť a reálna pravdepodobnosť).
4. CVSS ≥ 7,0 → Naplánuj (vysoká závažnosť, nízka pravdepodobnosť).
5. CVSS ≥ 4,0 alebo EPSS ≥ 0,01 → Naplánuj (stredné riziko).
6. CVSS nie je známe → Naplánuj (radšej posúďte, než prehliadnete).
7. Inak → Informatívne.

Toto poradie má logiku: reálne zneužívanie (KEV) poráža všetko, kritická závažnosť sa rieši sama osebe, a kombinácia vysokej závažnosti s pravdepodobnosťou vytiahne nález nahor aj bez KEV. Neznáme CVSS zámerne padá na „Naplánuj" — nechceme, aby vypadla z radaru len preto, že ešte nemá skóre.

Príklad na jednej zraniteľnosti

Predstavte si, že v knižnici, ktorú používate, vyjde CVE-2026-XXXX s CVSS 8,1. Ako sa rozhodnúť?

1. Je v KEV? Ak áno → Rieš teraz, koniec debaty, bez ohľadu na ostatné čísla.
2. Nie je v KEV, CVSS 8,1. Nie je ≥ 9,0, takže pravidlo 2 nezaberie. Pozrieme EPSS.
3. EPSS 0,15 (15 %). CVSS ≥ 7,0 a EPSS ≥ 0,10 → Rieš teraz (pravidlo 3).
4. Keby bolo EPSS 0,03, pravidlo 3 nezaberie, ale CVSS ≥ 7,0 → Naplánuj (pravidlo 4).

Tá istá zraniteľnosť teda skončí ako „Rieš teraz" alebo „Naplánuj" podľa pravdepodobnosti zneužitia — a presne o to ide: nie každé vysoké CVSS je hasenie požiaru. A keby sa tá istá CVE o týždeň dostala do KEV, verdikt sa automaticky preklopí na „Rieš teraz" a spustí sa úvaha o hlásení podľa čl. 14.

Čo si z toho odniesť

Pre malú firmu je praktický záver jednoduchý: KEV a Rieš teraz znamenajú dnes, ostatné sa dá zaradiť do plánu. A pretože nové CVE aj nové KEV zápisy pribúdajú denne, nejde o jednorazovú kontrolu, ale o beh na pozadí. Ako sa reálne hlási cez platformu ENISA, keď nález skončí ako „aktívne zneužívaný", rozoberá článok o čl. 14 krok za krokom.

Časté otázky

1. Je vysoké CVSS vždy „Rieš teraz"? Nie — samotné CVSS ≥ 9,0 áno, ale CVSS 7–9 závisí od EPSS a KEV. Preto kombinujeme viac signálov.
2. Odkiaľ berieme EPSS a KEV? EPSS od organizácie FIRST, KEV z katalógu CISA — oba verejné, aktualizované priebežne.
3. Znamená „žiadny nález" bezpečnosť? Nie. Databázy nevidia 0-day ani neznáme diery; absencia nálezu nie je záruka.
4. Prečo neznáme CVSS padá na „Naplánuj"? Aby nález nevypadol z radaru len preto, že ešte nemá skóre — radšej ho posúďte.

Prečo jeden verdikt namiesto štyroch čísel

Malá firma nemá kapacitu čítať pri každom náleze štyri metriky a rozhodovať sa nanovo. Zmysel verdiktu je spraviť rozhodnutie za vás a konzistentne: to isté pravidlo, tie isté prahy, každý raz. Vďaka tomu je aj audit trail dôveryhodný — pri kontrole viete ukázať, že ste sa nerozhodovali podľa nálady, ale podľa jasného pravidla, ktoré poráža KEV nad všetko a kombinuje závažnosť s pravdepodobnosťou.

Ako pomáha CRAguard

CRAguard denne porovná váš SBOM proti OSV, KEV a EPSS, každý nález ohodnotí presne týmto pravidlom a pri detaile ukáže prečo dostal daný verdikt. „Rieš teraz" vám príde e-mailom hneď, zvyšok v týždennom prehľade — aby ste 24-hodinovú lehotu z čl. 14 nikdy nezachytili neskoro. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 14) a z verejných zdrojov CVE/NVD, CVSS a EPSS (FIRST) a KEV (CISA). Verdikt CRAguard je podklad pre posúdenie, nie potvrdenie, že ste zraniteľní alebo compliant.