Apa Itu CVE? Pengertian dan Cara Membacanya

Apa itu CVE? CVE (Common Vulnerabilities and Exposures) adalah sistem penomoran standar yang memberi identitas unik pada kerentanan keamanan yang sudah diumumkan ke publik, sehingga semua pihak membicarakan celah yang sama dengan nama yang sama. Memahami CVE adalah keterampilan dasar bagi siapa pun yang mengelola sistem, menjalankan pemindaian kerentanan, atau belajar penetration testing.

Apa Itu CVE dan Mengapa Dibutuhkan?

Tanpa identitas bersama, satu kerentanan bisa dijuluki berbeda oleh vendor, peneliti, dan alat pemindai, sehingga sulit memastikan bahwa semuanya membahas hal yang sama. Glosarium NIST menggambarkan CVE sebagai daftar entri yang masing-masing memuat nomor identifikasi unik, deskripsi, dan setidaknya satu referensi publik untuk kerentanan yang diketahui. Daftar ini kemudian menjadi masukan bagi National Vulnerability Database (NVD).

FAQ resmi program CVE menegaskan satu hal penting: CVE bukan basis data kerentanan. Ia dirancang untuk menghubungkan berbagai basis data dan alat lain. CVE tidak memuat informasi risiko, dampak, perbaikan, atau detail teknis rinci. Informasi tersebut ada di sumber lain, seperti NVD dan pemberitahuan vendor.

Format Nomor CVE

Setiap nomor tersusun dari awalan CVE, tahun, lalu deretan angka, misalnya CVE-2014-0001. Sejak 2014 bagian angkanya berpanjang variabel dengan minimal empat digit, sehingga bisa ada lebih dari 9.999 nomor dalam satu tahun, misalnya CVE-2014-10000. Nomor lama dengan empat digit tetap berlaku apa adanya.

Siapa yang Menerbitkan CVE?

Nomor CVE dibagikan oleh CNA (CVE Numbering Authority), yaitu organisasi yang berwenang memberi ID kepada peneliti dan vendor pada pengumuman publik pertama sebuah kerentanan. Banyak vendor perangkat lunak besar merupakan CNA bagi produknya sendiri. MITRE berperan sebagai Top-Level Root dan CNA of Last Resort, yaitu tempat terakhir bila tidak ada CNA yang tepat.

Program ini beberapa kali menjadi sorotan soal pendanaan. Pada April 2025, kontrak MITRE yang didanai CISA hampir berakhir sebelum diperpanjang 11 bulan. Pada Maret 2026, menurut laporan CSO Online, kontrak itu dinegosiasi ulang sehingga tidak lagi menghadapi tenggat dekat, dan program dipindahkan ke pos anggaran CISA yang dilindungi. Rincian nilai dan syarat kontraknya tidak dibuka ke publik.

Cara Membaca Entri CVE

Sebuah entri CVE yang lengkap biasanya Anda temui di tiga tempat: rekaman di cve.org, halaman NVD, dan pemberitahuan keamanan vendor. Hal yang perlu Anda cari:

1. Nomor CVE dan deskripsi. Ringkasan singkat jenis kerentanan, produk, dan versi yang terdampak.
2. Referensi. Tautan ke advisori vendor, catatan perbaikan, atau laporan peneliti. Bagian ini paling berguna untuk menemukan versi perbaikan.
3. Skor keparahan. NVD memberi skor dan informasi tambahan, tetapi sejak April 2026 NIST tidak lagi memperkaya semua CVE, jadi sebagian CVE hanya memuat skor dari CNA atau tidak punya skor di NVD. Cara menafsirkan angkanya dibahas di artikel level kerentanan dan skor CVSS.
4. Produk dan versi terdampak. Cocokkan dengan inventaris perangkat lunak Anda untuk memastikan apakah Anda terkena.

Apa yang Dilakukan Setelah Menemukan CVE yang Relevan?

Memiliki nomor CVE untuk sebuah produk di jaringan Anda belum berarti ada insiden, tetapi itu sinyal untuk bertindak secara terukur:

• Pastikan versi yang Anda jalankan memang terdampak, lalu baca advisori vendor.
• Terapkan pembaruan atau mitigasi yang disarankan, dan uji di lingkungan non-produksi bila memungkinkan.
• Periksa apakah CVE itu masuk katalog Known Exploited Vulnerabilities (KEV) milik CISA, yang memuat kerentanan yang sudah dieksploitasi di dunia nyata dan dianjurkan CISA sebagai masukan untuk prioritas manajemen kerentanan.
• Jika perbaikan belum tersedia, terapkan langkah sementara seperti membatasi akses jaringan atau menonaktifkan fitur terdampak.

Kerentanan yang belum punya perbaikan atau belum diumumkan adalah topik tersendiri, dibahas pada artikel kerentanan zero-day.

CVE dalam Pekerjaan Keamanan Sehari-hari

Pemindai kerentanan memetakan temuan ke nomor CVE sehingga laporan dapat dilacak dan dibandingkan antar alat. Praktiknya dijelaskan dalam artikel vulnerability assessment dan tools yang digunakan. Tim respons insiden memakai nomor CVE untuk mencari tanda serangan yang diketahui, dan pengelola sistem memakainya untuk mengoordinasikan penambalan.

Perlu diingat bahwa pemindaian atau pengujian kerentanan hanya boleh dilakukan pada sistem milik Anda atau yang memberi izin tertulis. Memanfaatkan CVE untuk mengakses sistem pihak lain tanpa hak melanggar Pasal 332 KUHP tentang akses ilegal (sebelumnya Pasal 30 UU ITE).

Batasan CVE yang Perlu Diketahui

Pertama, ketiadaan nomor CVE tidak berarti sebuah sistem aman. Banyak kelemahan tidak pernah mendapat nomor, misalnya pada aplikasi buatan sendiri atau salah konfigurasi yang bersifat lokal. Kedua, sebuah CVE hanya menjelaskan kerentanannya, bukan seberapa mendesak ia bagi Anda. Kerentanan yang sama bisa sangat berbahaya pada server yang terbuka ke internet dan nyaris tidak relevan pada sistem yang terisolasi.

Ketiga, kualitas dan kecepatan data pendukung bisa berbeda. Karena NIST kini memprioritaskan pengayaan CVE tertentu saja, Anda sebaiknya terbiasa membaca advisori vendor sebagai sumber utama dan memakai NVD sebagai pelengkap. Terakhir, jangan mengandalkan satu sumber. Gabungkan daftar CVE dengan inventaris aset yang akurat, karena Anda tidak dapat menambal produk yang tidak Anda ketahui keberadaannya.

Baca juga: Cyber Security Researcher: Peran, Tugas, dan Cara Memulainya, Nuclei Vulnerability Scanner: Panduan Lengkap.

Pertanyaan yang Sering Diajukan

Apa kepanjangan CVE?

CVE adalah singkatan dari Common Vulnerabilities and Exposures. Kerentanan (vulnerability) adalah kelemahan yang dapat dimanfaatkan, sedangkan eksposur (exposure) lebih mengarah pada paparan informasi atau akses akibat kesalahan atau konfigurasi.

Apakah CVE sama dengan NVD?

Tidak. CVE adalah daftar nomor dan deskripsi singkat, sedangkan NVD milik pemerintah AS menambahkan informasi seperti skor dan data pendukung. NVD disinkronkan dengan daftar CVE.

Apakah setiap kerentanan punya nomor CVE?

Tidak. Hanya kerentanan yang diumumkan ke publik dan memenuhi kriteria program yang mendapat nomor. Banyak masalah keamanan, terutama pada sistem internal atau perangkat lunak buatan sendiri, tidak pernah memperoleh CVE.

Di mana saya bisa mencari CVE?

Sumber utamanya adalah situs resmi cve.org, NVD, dan advisori keamanan dari vendor produk yang Anda gunakan.

Kesimpulan

CVE memberi nama bersama untuk kerentanan publik, tetapi ia hanya titik awal: Anda tetap perlu membaca advisori vendor, menilai skor dengan konteks, dan menambal secara terukur. Biasakan memeriksa CVE yang menyangkut perangkat lunak Anda secara rutin. Untuk belajar membaca dan menindaklanjuti temuan kerentanan secara praktis, Linuxhackingid menyediakan materi di halaman kursus.