資安新聞裡的CVE是什麼？編號大就更危險？

(中央社財經訊息服務20261110 12:05:44)網站收到緊急更新通知，公告裡卻是一長串看不懂的英文與數字。近期廣泛用於網站開發的PHP公布兩項重大漏洞，編號分別為CVE-2026-109618與CVE-2026-109619，並於10月21日發布修補版本，呼籲使用者儘速更新。對網站經營者而言，除了關心「我的網站有沒有受影響」，也可能好奇這串CVE編號究竟代表什麼？數字越大，就越危險嗎？

CVE是Common Vulnerabilities and Exposures的縮寫，可以把它想成資安漏洞的「身分證號碼」。同一個漏洞，可能同時出現在軟體公司的更新公告、資安研究報告與新聞裡；有了共同編號，大家就能確認談的是同一個問題，避免只靠不同名稱或描述而混淆。

這串編號通常由「CVE、4位數年份、至少4位數的識別數字」組成。年份可能與編號保留、漏洞首次公開或紀錄發布的年度有關，不一定是漏洞最早被發現的年份。後面的數字則用來區分不同紀錄，數字越大不代表越嚴重，也不能直接當成當年已公布漏洞的總數。

另一個容易混淆的名詞是CVSS，也就是通用漏洞評分系統。兩者雖然只差幾個字母，用途卻不同：CVE協助辨認「是哪個漏洞」，CVSS則以0至10分表達漏洞的技術嚴重程度。不過，新聞裡常見的CVSS基本分數，也不等於個人或公司的實際風險，仍要搭配使用環境與攻擊情況判斷。

例如，看到某款軟體出現漏洞，先別只看產品名稱就認定自己受影響。公告可能只涉及特定版本、功能或設定；即使使用同一款產品，也需要核對自己的版本，以及官方列出的受影響條件。反過來說，幾年前的CVE編號，也不代表問題已經過期，仍在使用受影響舊版本的人，依然需要處理。

Cloudmax匯智資訊提醒，讀者看到漏洞消息時，可以先確認自己是否使用相關產品，再查看受影響版本、是否已有修補，以及是否出現實際遭利用的紀錄。一般使用者可透過裝置內建更新功能或原廠官方管道處理；公司使用的系統，則可把CVE編號交給資訊人員或維運廠商，方便核對與追蹤。

不必背下每一串漏洞編號，但知道它的用途，就能把資安新聞讀得更明白。真正與日常使用有關的，是這個漏洞是否影響自己的設備，以及接下來需要採取什麼行動。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw 圖片來源：Cloudmax 匯智／AI生成