الثغرات الأمنية الشائعة ونقاط الضعف

يُوفّر نظام الثغرات الأمنية الشائعة ( CVE )، الذي كان يُعرف سابقًا باسم تعداد الثغرات الأمنية الشائعة ، ^{[ 1 ]} طريقة مرجعية للثغرات الأمنية المعروفة في مجال أمن المعلومات . ^{[ 2 ]} ويتولى معهد هندسة وتطوير أنظمة الأمن الداخلي الأمريكي (FFRDC)، الذي تديره مؤسسة MITRE ، صيانة النظام بتمويل من قسم الأمن السيبراني الوطني التابع لوزارة الأمن الداخلي الأمريكية . ^{[ 3 ]} وقد أُطلق النظام رسميًا للجمهور في سبتمبر 1999. ^{[ 4 ]}

يستخدم بروتوكول أتمتة محتوى الأمان CVE، ويتم إدراج معرفات CVE في نظام MITRE بالإضافة إلى كونها أساس قاعدة بيانات الثغرات الأمنية الوطنية الأمريكية . ^{[ 5 ]}

تُعرّف وثائق مؤسسة MITRE مُعرّفات CVE (وتُسمى أيضًا "أسماء CVE" و"أرقام CVE" و"معرفات CVE" و"CVEs") بأنها مُعرّفات فريدة وشائعة لنقاط الضعف الأمنية المعروفة في حزم البرامج المنشورة. تاريخيًا، كانت مُعرّفات CVE تُصنّف في البداية على أنها "مرشحة" ("CAN-")، وكان من الممكن ترقيتها لاحقًا إلى إدخالات ("CVE-")، ولكن تم إيقاف هذه الممارسة في عام 2005 ^{[ 6 ] [ 7 ]} ، وأصبحت جميع المُعرّفات الآن تُصنّف على أنها CVEs. لا يضمن تخصيص رقم CVE أن يصبح إدخال CVE رسميًا (على سبيل المثال، قد يُخصص CVE بشكل غير صحيح لمشكلة ليست ثغرة أمنية، أو يُكرر إدخالًا موجودًا). ​​في حال عدم استيفاء المعايير، يُمكن لمؤسسة MITRE أو هيئة ترقيم CVE (CNA) وضع الإدخال في حالة "مرفوض" بشكل فوري.

يتم تخصيص أرقام CVE من قِبل هيئة ترقيم CVE (CNA). ^{[ 8 ]} مع أن بعض الموردين كانوا يعملون كهيئة ترقيم CVE سابقًا، إلا أن الاسم والتصنيف لم يُعتمدا إلا في 1 فبراير 2005. ^{[ 9 ]} هناك أربعة أنواع رئيسية من تخصيص أرقام CVE:

1. تتولى مؤسسة MITRE دور المحرر والمسؤول الرئيسي عن المحتوى.
2. تقوم العديد من شركات تصنيع أجهزة الكمبيوتر بتخصيص أرقام CVE لمنتجاتها الخاصة (مثل مايكروسوفت، أوراكل، إتش بي، ريد هات).
3. قد يقوم منسق طرف ثالث، مثل مركز تنسيق CERT، بتخصيص أرقام CVE للمنتجات غير المشمولة بأرقام CNA الأخرى.
4. في إحدى الحالات، مُنح الباحثون دور محلل الشبكة العصبية. ^{[ 10 ]}

عند التحقيق في ثغرة أمنية أو ثغرة أمنية محتملة، يُفيد الحصول على رقم CVE مبكرًا. قد لا تظهر أرقام CVE في قواعد بيانات MITRE أو NVD لفترة من الزمن (أيام، أسابيع، شهور، أو حتى سنوات) بسبب مشكلات محظورة (حيث تم تخصيص رقم CVE ولكن لم يتم نشر المشكلة)، أو في حالات سابقة لم تقم فيها MITRE بالبحث في البيانات وكتابة تقرير عنها بسبب نقص الموارد. تكمن فائدة تحديد رقم CVE مبكرًا في إمكانية الرجوع إليه في جميع المراسلات والتنسيقات اللاحقة لضمان أن جميع الأطراف تشير إلى الثغرة الأمنية نفسها. تتوفر معلومات حول الحصول على مُعرّفات CVE للمشكلات المتعلقة بمشاريع المصادر المفتوحة من Red Hat ^{[ 11 ]} و GitHub ^{[ 12 ]} .

تُمنح رموز CVE للبرامج التي تم إصدارها للجمهور، بما في ذلك الإصدارات التجريبية والإصدارات ما قبل الإطلاق إذا كانت شائعة الاستخدام. تُصنّف البرامج التجارية ضمن فئة "البرامج المُصدرة للجمهور"، بينما لم تكن البرامج المُصممة خصيصًا وغير المُوزعة تُمنح رموز CVE في السابق. خلال العقدين الأولين من البرنامج، لم تُمنح الخدمات (مثل مزود خدمة البريد الإلكتروني عبر الإنترنت) رموز CVE للثغرات الأمنية الموجودة فيها (مثل ثغرة XSS) إلا إذا كانت المشكلة موجودة في منتج برمجي أساسي مُوزع للجمهور. لم تُنشر قواعد رسمية بشأن هذا التغيير، لكن بعض منظمات CNA، بما فيها MITRE، بدأت بمنح رموز CVE للثغرات الأمنية في الخدمات منذ عام 2000. ^{[ 13 ]}

تحتوي قاعدة بيانات CVE على عدة حقول:

من أجل دعم معرفات CVE التي تتجاوز CVE-YEAR-9999 (وهي مشكلة تُعرف باسم "مشكلة CVE10k" ^{[ 14 ]} )، تم إجراء تغيير على صيغة CVE في عام 2014 ودخل حيز التنفيذ في 13 يناير 2015. ^{[ 15 ]}

صيغة CVE-ID الجديدة متغيرة الطول وتتضمن ما يلي:

بادئة CVE + السنة + أرقام عشوائية

تبدأ الأرقام العشوائية ذات الطول المتغير بأربعة أرقام ثابتة، وتتوسع بأرقام عشوائية عند الحاجة فقط خلال السنة التقويمية؛ على سبيل المثال، CVE-YYYY-NNNN، وإذا لزم الأمر CVE-YYYY-NNNNN، وCVE-YYYY-NNNNNN، وهكذا. يتوافق هذا المخطط مع معرّفات CVE-IDs المُخصصة مسبقًا، والتي تتضمن جميعها أربعة أرقام على الأقل.

يمكن البحث في قاعدة بيانات Mitre CVE في CVE List Search ، ويمكن البحث في قاعدة بيانات NVD CVE في Search CVE and CCE Vulnerability Database .

تُستخدم معرّفات CVE لتحديد الثغرات الأمنية:

تُعدّ قاعدة بيانات الثغرات الأمنية الشائعة (CVE) قاموسًا للأسماء الشائعة (أي مُعرّفات CVE) للثغرات الأمنية المعروفة في مجال أمن المعلومات. تُسهّل مُعرّفات CVE الشائعة تبادل البيانات بين قواعد بيانات وأدوات أمن الشبكات المختلفة، وتُوفّر أساسًا لتقييم مدى تغطية أدوات أمن المؤسسة. إذا تضمن تقريرٌ من إحدى أدوات الأمان لديك مُعرّفات CVE، فيمكنك حينها الوصول بسرعة ودقة إلى معلومات الإصلاح في قاعدة بيانات واحدة أو أكثر من قواعد البيانات المتوافقة مع CVE لمعالجة المشكلة. ^{[ 16 ]}

يُنصح المستخدمون الذين تم تخصيص معرف CVE لهم لثغرة أمنية بالتأكد من وضع المعرف في أي تقارير أمنية ذات صلة، وصفحات ويب، ورسائل بريد إلكتروني، وما إلى ذلك.

وفقًا للقسم 7 من قواعد CNA، يتمتع البائع الذي يتلقى تقريرًا عن ثغرة أمنية بسلطة تقديرية كاملة فيما يتعلق بها. ^{[ 17 ]} قد يؤدي هذا إلى تضارب في المصالح، إذ قد يحاول البائع ترك الثغرات دون إصلاح برفضه منحها رمز CVE في البداية، وهو قرار لا يمكن لشركة Mitre التراجع عنه. يهدف مشروع "!CVE" (وليس CVE)، الذي أُعلن عنه في عام 2023، إلى جمع الثغرات التي ينكرها البائعون، طالما اعتبرتها لجنة من الخبراء في المشروع صحيحة. ^{[ 18 ]}

مُنحت مُعرّفات CVE لمشاكل وهمية ومشاكل لا تُشكّل أي عواقب أمنية. ^{[ 19 ]} واستجابةً لذلك، تقدّم عدد من مشاريع المصادر المفتوحة بطلبات لتصبح هيئة ترقيم CVE (CNA) الخاصة بها. ^{[ 20 ]}

في 15 أبريل 2025، أفادت التقارير بأن العقد المبرم بين شركة MITRE والحكومة الأمريكية، والذي كان من المقرر أن ينتهي في اليوم التالي، ^{[ 21 ]} سيُسمح له بالانتهاء. وذكرت التقارير أن انتهاء العقد سيؤدي إلى إنهاء الجانب التشغيلي لبرنامج CVE، بما في ذلك تخصيص أرقام CVE جديدة، بينما ستظل قاعدة البيانات متاحة عبر GitHub . ^{[ 22 ]}

قبل انتهاء مدة العقد مباشرة، تم تمديده لمدة 11 شهرًا، مما حال دون إغلاق البرنامج. ^{[ 23 ]}

بعد خطر انتهاء التمويل في 16 مارس 2026، صرّح نيك أندرسن، القائم بأعمال مدير وكالة الأمن السيبراني وأمن البنية التحتية (CISA)، بأن البرنامج يحظى الآن بتمويل كامل. وأفاد بيت ألور، المؤسس المشارك لمؤسسة مكافحة التطرف العنيف (CVE Foundation)، بأن تمويل برامج مكافحة التطرف العنيف قد أُعيد هيكلته من بند اختياري إلى أحد البرامج الأساسية التي سيتم تمويلها. ^{[ 24 ]}

• نظام تسجيل نقاط الضعف الشائعة (CVSS)
• تعداد نقاط الضعف الشائعة (CWE)
• أمن الحاسوب
• قاعدة بيانات الثغرات الأمنية للاتحاد الأوروبي
• تحليل مكونات البرمجيات
• اختبار أمان التطبيقات الثابتة

• الموقع الرسمي
• قاعدة بيانات الثغرات الأمنية الوطنية (NVD)
• تعداد التكوينات الشائعة (CCE) في NVD
• vFeed: قاعدة بيانات الثغرات الأمنية المترابطة والمجمعة - قاعدة بيانات SQLite وواجهة برمجة تطبيقات Python
• قاعدة بيانات ثغرات Cyberwatch مؤرشفة بتاريخ 22 أغسطس 2018 على موقع Wayback Machine ، جهة خارجية
• ما الذي تحتاج المؤسسات إلى معرفته حول خدمات تدقيق أمن تكنولوجيا المعلومات؟