De CVE-score is een getal tussen 0.0 en 10.0 dat aangeeft hoe ernstig een bekende beveiligingskwetsbaarheid is. Hoe hoger het getal, hoe groter het risico. De score wordt berekend via het Common Vulnerability Scoring System (CVSS) en helpt beveiligingsteams beslissen welke kwetsbaarheden ze als eerste moeten aanpakken. In dit artikel leggen we uit hoe de score werkt, wat de niveaus betekenen en waarom dit ook voor jouw website relevant is.
Hoe wordt een CVE-score berekend?
Een CVE-score wordt berekend via het Common Vulnerability Scoring System (CVSS), een gestandaardiseerde methode die meerdere factoren afweegt om tot een getal tussen 0.0 en 10.0 te komen. Hoe makkelijker een kwetsbaarheid te misbruiken is en hoe groter de mogelijke schade, hoe hoger de score uitvalt.
De berekening is opgebouwd uit drie lagen. De basisscore (Base Score) vormt het fundament en kijkt naar eigenschappen die niet veranderen in de tijd, zoals hoe de aanvaller toegang krijgt, welke rechten hij nodig heeft en wat de impact is op vertrouwelijkheid, integriteit en beschikbaarheid van een systeem. Denk aan vragen als: kan iemand dit op afstand misbruiken, of moet hij fysiek aanwezig zijn?
Daarbovenop komen een tijdelijke score (Temporal Score) en een omgevingsscore (Environmental Score). De tijdelijke score houdt rekening met factoren die wel veranderen, zoals de beschikbaarheid van exploitcode. De omgevingsscore past de beoordeling aan op jouw specifieke situatie: een kwetsbaarheid in software die jij niet gebruikt, is voor jou minder relevant dan voor een andere organisatie. FIRST biedt een online calculator Deze link opent in een nieuw tabblad waarmee je zelf scores kunt berekenen op basis van deze variabelen.
Wat betekenen de verschillende CVE-scoreniveaus?
De CVSS-ernstindeling verdeelt scores in vijf niveaus: Geen (0.0), Laag (0.1 tot 3.9), Medium (4.0 tot 6.9), Hoog (7.0 tot 8.9) en Kritiek (9.0 tot 10.0). Een hogere score betekent dat een kwetsbaarheid makkelijker te misbruiken is, meer schade kan aanrichten, of allebei. Maar de score vertelt niet het hele verhaal.
Een score van 9.8 geldt als het “handtekeninggetal” voor een niet-geauthenticeerde remote code execution: een aanvaller kan jouw systeem overnemen via het netwerk, zonder wachtwoord en zonder dat een gebruiker iets hoeft te doen. Dat is het ergste scenario dat er is.
Toch is context cruciaal. De kwetsbaarheid Heartbleed scoorde destijds “slechts” Medium in een oudere CVSS-versie, terwijl het een wereldwijde beveiligingscrisis veroorzaakte. Een kritieke kwetsbaarheid op een geïsoleerde testmachine levert weinig risico op, terwijl een Medium-score op een publiek bereikbaar systeem veel gevaarlijker kan zijn. CVSS meet ernst, geen context Deze link opent in een nieuw tabblad.
Nog iets om rekening mee te houden: zodra een kwetsbaarheid gepubliceerd wordt, beginnen geautomatiseerde tools het internet af te scannen op systemen die nog niet gepatcht zijn. Soms duurt het minder dan 24 uur voor de eerste aanvallen plaatsvinden. Een “lage” score geeft dus geen reden tot gemakzucht.
Wat is het verschil tussen CVE en CVSS?
CVE (Common Vulnerabilities and Exposures) is een catalogus van bekende beveiligingskwetsbaarheden, elk met een uniek nummer. CVSS (Common Vulnerability Scoring System) is het scoresysteem dat aangeeft hoe ernstig zo’n kwetsbaarheid is. Simpel gezegd: CVE beantwoordt “wat is het?”, CVSS beantwoordt “hoe erg is het?”
Een CVE-vermelding op zich zegt niets over de ernst van een lek. Het is puur een identificatie, vergelijkbaar met een artikelnummer in een catalogus. Pas wanneer er een CVSS-score aan wordt toegekend, weet je of je te maken hebt met een klein ongemak of een acuut gevaar.
De National Vulnerability Database (NVD), beheerd door het Amerikaanse NIST, combineert beide: CVE-vermeldingen worden verrijkt met CVSS-scores, beschrijvingen en referenties. Zo ontstaat één centrale plek waar beveiligingsprofessionals alle relevante informatie over een kwetsbaarheid kunnen vinden. In Nederland zijn zowel het NCSC-NL als het DIVD erkende CVE Numbering Authorities, wat betekent dat ze zelf CVE-nummers kunnen toekennen aan kwetsbaarheden die ze ontdekken.
Welke CVSS-versie is momenteel de standaard?
De nieuwste versie is CVSS 4.0, officieel gepubliceerd op 1 november 2023 door FIRST. In de praktijk gebruikt het merendeel van databases en beveiligingsadviezen echter nog steeds CVSS 3.1. De adoptie van versie 4.0 groeit langzaam, maar is in 2026 nog niet de dominante standaard.
CVSS 4.0 lost een aantal bekende problemen op. Zo pakt het de “score-inflatie” aan die in versie 3.x optrad: te veel kwetsbaarheden kregen een hoge score, waardoor de indeling minder onderscheidend werd. Ook de verwarrende “Scope”-metriek is vervangen door aparte impactbeoordelingen voor het kwetsbare systeem zelf en aangrenzende systemen.
Nieuw in versie 4.0 is ook aandacht voor OT-, ICS- en IoT-omgevingen, met specifieke veiligheidsmaatstaven voor industriële en fysieke systemen. Voor webomgevingen en WordPress-installaties is CVSS 3.1 voorlopig nog de referentieversie die je het vaakst tegenkomt in vulnerability scanners en beveiligingsrapporten.
Hoe gebruik je een CVE-score bij websitebeveiliging?
Bij websitebeveiliging gebruik je een CVE-score om te bepalen welke kwetsbaarheden je als eerste moet aanpakken. Een vulnerability scan vergelijkt de software op jouw website met de CVE-database en rapporteert welke bekende lekken aanwezig zijn. De bijbehorende CVSS-score helpt je daarna prioriteren: wat is urgent en wat kan even wachten?
Voor WordPress-websites is dit bijzonder relevant. In het WordPress-ecosysteem werden in 2025 meer dan 11.000 nieuwe kwetsbaarheden geteld, een stijging van ruim 40% ten opzichte van het jaar ervoor. De gemiddelde tijd tussen publicatie van een kwetsbaarheid en de eerste aanvallen bedraagt soms slechts enkele uren Deze link opent in een nieuw tabblad. Dat maakt snelle actie geen luxe, maar een noodzaak.
Een praktische aanpak voor sitebeheerders ziet er zo uit:
- Patch eerst wat in de CISA KEV-catalogus staat of een hoge CVSS-score heeft in combinatie met een internet-bereikbaar component.
- Combineer CVSS met EPSS (Exploit Prediction Scoring System) om te bepalen welke kwetsbaarheden ook daadwerkelijk actief misbruikt worden.
- Houd plugins en thema’s actueel, ook premium varianten. Die blijken vaker bekende misbruikte lekken te bevatten dan gratis alternatieven uit de officiële repository.
- Stel automatische updates in voor WordPress core en vertrouwde plugins, zodat je niet afhankelijk bent van handmatige controles.
- Monitor continu in plaats van maandelijks te checken. Websitebeveiliging is een dagelijkse discipline geworden.
Bij Stuurlui zit veilig coderen in het DNA van ons WordPress-developmentproces, van kennis van de OWASP Top 10 tot code reviews en periodieke pentests. Zo hoeft jouw team zich geen zorgen te maken over welke CVE-score urgent is en welke niet.
Waarom heeft niet elke kwetsbaarheid een CVE-score?
Niet elke kwetsbaarheid krijgt een CVE-nummer, en niet elke CVE krijgt een CVSS-score. Dat heeft twee oorzaken: sommige leveranciers dienen bewust geen CVE in, en de instantie die scores toekent, loopt structureel achter op het volume aan nieuwe kwetsbaarheden.
Het Amerikaanse NIST, dat de National Vulnerability Database beheert, heeft per april 2026 formeel besloten om alleen nog CVE’s te verrijken met CVSS-scores als ze voorkomen in een beperkte lijst van kritieke categorieën. Alle andere kwetsbaarheden krijgen de status “Not Scheduled”: geen score, geen productmapping, geen verdere classificatie. Dat raakt een groot deel van de nieuwe CVE’s die dagelijks worden gepubliceerd.
Voor jou als sitebeheerder betekent dit dat je niet blind kunt vertrouwen op de aanwezigheid van een CVSS-score als bewijs dat een kwetsbaarheid beoordeeld is. Een plugin die al meer dan een jaar geen update heeft gehad, wordt door beveiligingsexperts feitelijk als risicovol beschouwd, ook zonder dat er een CVE aan hangt. Afwezigheid van een score is geen veiligheidsgarantie.
Waar vind je betrouwbare CVE-score-informatie?
Betrouwbare CVE-score-informatie vind je bij officiële en onafhankelijke bronnen. De belangrijkste voor Nederland zijn het NCSC-NL, de NVD van NIST en het DIVD. Elk biedt een eigen invalshoek en aanvullende context naast de ruwe CVE-data.
Het NCSC-NL biedt via vulnerabilities.ncsc.nl Deze link opent in een nieuw tabblad een eigen kwetsbaarhedendatabase met een zelfontwikkelde NCSC-score. Die score geeft een inschatting van de relevantie voor Nederlandse organisaties, gegenereerd door een machine-learningmodel dat getraind is op Nederlandse beveiligingsadviezen. Handig, want een generieke CVSS-score houdt geen rekening met de specifieke context van jouw organisatie of sector.
Andere nuttige bronnen op een rij:
- cve.org en NVD (nvd.nist.gov) voor de officiële CVE-registraties en beschikbare CVSS-scores.
- DIVD (divd.nl) als Nederlandse CNA die actief kwetsbaarheden ontdekt en meldt bij eigenaren van systemen.
- Security.nl voor Nederlandstalige analyses en achtergrondartikelen over CVE- en CVSS-ontwikkelingen.
- ccinfo.nl voor dagelijks bijgewerkte CVE-informatie relevant voor Nederland en België.
- CISA KEV-catalogus voor een overzicht van kwetsbaarheden die actief worden misbruikt en dus de hoogste prioriteit verdienen.
Gebruik bij voorkeur meerdere bronnen naast elkaar. Juist nu de NVD voor een groot deel van nieuwe kwetsbaarheden geen volledige verrijking meer levert, is het verstandig om ook de NCSC-database en de CISA KEV-catalogus in je monitoring op te nemen. Zo mis je niets wat er daadwerkelijk toe doet.
CVE-scores zijn een onmisbaar kompas bij websitebeveiliging, maar ze werken pas goed als je ze combineert met context, snelle actie en een partner die weet waar hij op moet letten. Wil je weten hoe wij dat voor jouw WordPress-website aanpakken? Bekijk onze aanpak of neem contact op voor een vrijblijvend gesprek.