CVE vs KEV: Varför siffrorna för sårbarhetstillväxt inte berättar hela historien

Varje år publicerar cybersäkerhetsvärlden fler sårbarheter än någonsin tidigare. CVE-databasen fortsätter att växa i imponerande takt, och sårbarhetsskannrar flaggar plikttroget tusentals fynd i instrumentpaneler över hela världen.

Samtidigt växer en betydligt kortare lista, katalogen Known Exploited Vulnerabilities (KEV), mycket långsammare.

Det väcker en viktig fråga för säkerhetsteam och beslutsfattare:

Om antalet CVE:er exploderar varje år, varför följer inte KEV samma kurva? Och ännu viktigare: vilken av dem bör organisationer egentligen fokusera på?

Grafen visar de allt mer divergerande tillväxtkurvorna för CVE-databasen och katalogen Known Exploited Vulnerabilities (KEV) mellan 2021 och 2025. Medan CVE-volymen växer snabbt på grund av omfattningen på offentliggöranden och automatisering, växer KEV långsamt som en kurerad uppsättning sårbarheter som aktivt utnyttjas i verkligheten. Denna skillnad understryker varför riskbaserad prioritering betyder mer än råa sårbarhetssiffror.

CVE-tillväxten speglar offentliggörande, inte fara

Systemet Common Vulnerabilities and Exposures (CVE) designades aldrig för att mäta verklig risk. Dess syfte är transparens. Så snart en sårbarhet har offentliggjorts ansvarsfullt och validerats kan den få en CVE-identifierare, oavsett om angripare någonsin visar intresse för den.

Det designvalet förklarar den branta tillväxtkurvan. De senaste åren har antalet nypublicerade CVE:er stigit från ungefär 20 000 år 2021 till över 31 000 år 2024, och 2025 fortsätter den accelerationen med mer än 33 000 publicerade CVE:er. Det innebär att det globala sårbarhetslandskapet nu utökas med omkring nittio nya CVE:er varje enskild dag, de flesta offentliggjorda långt innan någon vet om angripare någonsin kommer att visa något intresse.

Den fortsatta tillväxten under 2025 drivs till stor del av ökad automatisering i upptäckten av sårbarheter, ett växande antal CVE Numbering Authorities (CNA) och bättre insyn i mjukvara för leveranskedjor och molnbaserade miljöer, snarare än av en plötslig våg av verkligt nya angreppstekniker.

CVE-ekosystemet, som samordnas av CVE Program (https://nvd.nist.gov/general/cve-process), gör ett utmärkt jobb med att katalogisera allt som skulle kunna vara fel. Men den fullständigheten har ett pris: volym utan prioritering.

För organisationer översätts detta ofta till långa listor med kvarvarande sårbarheter, oändliga patchcykler och instrumentpaneler fulla av kritiska fynd som kanske aldrig utnyttjas.

KEV växer långsamt eftersom angripare är selektiva

Katalogen Known Exploited Vulnerabilities (KEV) finns av en helt annan anledning. Den underhålls av CISA (https://www.cisa.gov/) och KEV inkluderar endast sårbarheter som aktivt utnyttjas i verkligheten och som stöds av trovärdiga bevis.

Tillväxten i katalogen Known Exploited Vulnerabilities berättar en helt annan historia. Sedan introduktionen 2021 har KEV vuxit från ungefär 300 poster till omkring 1 200 i slutet av 2024. Under 2025 har katalogen växt ytterligare till cirka 1 350 kända utnyttjade sårbarheter. Jämfört med de tiotusentals CVE:er som publicerats under samma period utgör KEV fortfarande klart under två procent av hela sårbarhetslandskapet, men fångar en oproportionerligt stor andel av den verkliga angreppsaktiviteten.

Den långsamma tillväxten är ingen svaghet. Den speglar en grundläggande sanning om cyberbrottslighet: angripare jagar inte varje sårbarhet. De fokuserar på det som är pålitligt, skalbart och lönsamt. När en exploatering väl fungerar tenderar den att återanvändas, ibland i åratal.

Med andra ord speglar KEV angriparnas beteende, inte volymen av offentliggöranden.

Varför lika snabb tillväxt vore en varningssignal

Om KEV skulle växa lika snabbt som CVE vore det faktiskt ett tecken på ett problem. Det skulle betyda antingen att varje sårbarhet omedelbart beväpnas (vilket inte är fallet), eller att KEV hade förlorat sin filtreringsförmåga.

CVE besvarar frågan ”Vad finns?”

KEV besvarar den mycket mer akuta frågan ”Vad används just nu mot organisationer?”

Att förstå den skillnaden är avgörande för modern sårbarhetshantering.

Vår syn: teoretiska sårbarheter är inte samma sak som verklig risk

På Guardian360 anser vi att organisationer lägger alldeles för mycket tid på att jaga teoretisk risk.

Traditionell sårbarhetshantering behandlar ofta alla CVE:er som likvärdiga och förlitar sig starkt på CVSS-poäng och råa siffror. Det tillvägagångssättet ser grundligt ut på pappret, men i praktiken leder det till patchtrötthet, ineffektiv resursanvändning och en falsk känsla av kontroll.

En CVE med hög allvarlighetsgrad som aldrig utnyttjas utgör inte samma risk som en måttligt poängsatt sårbarhet som angripare aktivt missbrukar. Ändå prioriterar många verktyg fortfarande den förstnämnda framför den senare.

Därför är vi starkt övertygade om att organisationer bör flytta sitt fokus från ”Hur många sårbarheter har vi?” till ”Vilka sårbarheter hotar faktiskt vår verksamhet?”

Så stöttar Guardian360 Lighthouse riskbaserad prioritering

Guardian360 Lighthouse är byggt kring exakt den principen. I stället för att överväldiga partner och kunder med oändliga sårbarhetslistor utvecklas Lighthouse mot en riskbaserad skannings- och prioriteringsmodell.

Genom att kombinera:

• teknisk sårbarhetsdata (CVE),
• underrättelser om utnyttjande (som KEV),
• och verksamhetskontext (tillgångarnas relevans, exponering och påverkan),

hjälper Lighthouse partner att fokusera åtgärderna där de betyder mest. Detta passar naturligt ihop med moderna ramverk som ISO 27001 och NIS2, som allt mer betonar riskbaserat beslutsfattande framför checklistebaserad efterlevnad.

Målet är inte färre skanningar, utan smartare resultat.

Att läsa tillväxtkurvorna rätt

Den visuella skillnaden mellan tillväxtkurvorna för CVE och KEV berättar en tydlig historia. En linje stiger brant, driven av offentliggörande och transparens. Den andra klättrar långsamt, driven av bekräftat missbruk i den verkliga världen.

Det gapet är inget som ska ”lösas”. Det är något som ska användas.

För att minska cyberrisk handlar inte om att åtgärda allt som skulle kunna gå fel, det handlar om att ta itu med det som faktiskt går fel.

Sluttanke

CVE ger oss insyn.

KEV ger oss fokus.

Och riskbaserade lösningar som Guardian360 Lighthouse finns för att överbrygga det gapet, så att organisationer kan lägga mindre tid på att reagera på brus och mer tid på att minska verklig, mätbar risk.