CVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico. Zo zie je snel welke problemen als eerste aandacht nodig hebben.
Wat is CVSS?
CVSS maakt van een technische beschrijving één getal dat iedereen kan vergelijken, zodat een hostingpartijWebhosting is de dienst die jouw website op een computer zet die altijd aan staat en met internet verbonden is, zodat bezoekers hem kunnen openen., een beveiligingstool en een site-eigenaar in één oogopslag zien welke problemen als eerste aandacht verdienen.
CVSS wordt beheerd door FIRST, een non-profitplatform van beveiligingsteams. De basisscore ontstaat uit een paar vragen over de fout zelf. Is hij aan te vallen via het netwerk of alleen vanaf de machine zelf? Hoe ingewikkeld is de aanval? Heeft de aanvaller een login nodig, of een klik van een gebruiker? En wat gebeurt er als het lukt: kunnen gegevens uitlekken of veranderen, of kan de dienst uitvallen?
Het resultaat valt in een klasse: laag, midden, hoog of kritiek. De huidige versie is CVSS 4.0, maar op oudere records zie je nog 3.x-scores. De versie hoort bij de score, dus schrijf “CVSS v4.0 9,2” en niet alleen “9,2”.
Wat de score je niet vertelt
Een basisscore zegt niets over jouw situatie. Hij weet niet of je de getroffen versie draait, of de kwetsbare functie aanstaat, of dat aanvallers de fout gebruiken. Misbruik in de praktijk wordt apart bijgehouden, in lijsten zoals CISA KEVCISA KEV is een lijst van de Amerikaanse overheidsdienst CISA met beveiligingsproblemen die aanvallers aantoonbaar echt hebben gebruikt.. Zie CVSS als manier om de wachtrij te sorteren, niet als voorspelling van wat er met jouw site gebeurt.
Wat CVSS betekent voor een PHP-site
Elk CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft.-record kan een CVSS-score hebben, en scanners en hostingdashboards herhalen hem meestal. De score kan komen van de partij die het record publiceerde, of van de NVDDe NVD is de openbare database van de Amerikaanse overheid met bekende beveiligingsproblemen in software, aangevuld met scores en uitleg., die later een eigen analyse toevoegt. Twee scores voor één fout komen voor, en het verschil is het bekijken waard voordat je in paniek raakt of juist achterover leunt.
De hoogste scores gaan vaak naar remote code executionRemote code execution (RCE) betekent dat een aanvaller van buitenaf eigen opdrachten op jouw server kan uitvoeren, alsof hij er zelf achter zit.-fouten, waarbij een aanvaller via het netwerk code op de server kan uitvoeren. In een PHP-runtime is dat precies het soort zwakte dat elke site op de server raakt, welk CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren. je ook draait.
Een concreet voorbeeld
Op 21 oktober 2026 bracht het PHP-project PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit. De PHP Group publiceerde twee CVE-records voor de verholpen fouten, CVE-2026-109618 en CVE-2026-109619, en beide hebben een CVSS v4.0-score van 9,2. De records beschrijven de fout als bereikbaar via het netwerk, met hoge aanvalscomplexiteit en zonder dat rechten of een handeling van een gebruiker nodig zijn. NVD rondde om 17:01 UTC zijn analyse af en geeft beide een eigen score van CVSS v3.1 9,8. Twee scores voor één fout dus, allebei kritiek.
Dat ene voorbeeld laat zien hoe je een score leest: hij komt van een genoemde partij, hij heeft een versie en hij hoort bij een vector die het getal toelicht. Voor de volledige lijst van wat we weten, met tijdstippen, kijk je op de pagina over PHP2Shell.
Wanneer een hoge score actie van jou vraagt
Een hoge of kritieke score in software die je echt draait betekent: zoek vandaag je versie uit en plan de update binnen dagen, niet maanden. Wat je site naar buiten toont, zie je met de gratis PHP exposure check. Krijgt je PHP-takEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. geen fixes meer, dan komt er ook geen update, en dan is overstappen naar een ondersteunde versie via onze hulp bij php updaten het echte antwoord. Een lage score op een pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop. die je niet gebruikt vraagt geen haast, maar hoort wel op je lijst voor het volgende onderhoudsmoment.
Houd de volgorde rustig, wat het getal ook is: eerst je versie, dan de oplossing, dan pas het nieuws over misbruik. Een score is het begin van een besluit, en dat besluit is aan jou.
Veelgestelde vragen
Wat is een goede of slechte CVSS-score?
De schaal loopt van 0 tot 10 en hoger is ernstiger. De standaardklassen zijn laag (0,1 tot 3,9), midden (4,0 tot 6,9), hoog (7,0 tot 8,9) en kritiek (9,0 tot 10,0). De score beschrijft de fout zelf. Een hoog getal is dus een reden om beter te kijken, geen oordeel over jouw site.
Wie bepaalt de CVSS-score van een kwetsbaarheid?
Meestal scoort de partij die het CVE-record publiceert, zoals het softwareproject, als eerste. Anderen, zoals de NVD, kunnen later een eigen score toevoegen, en die twee kunnen verschillen. Kijk dus altijd wie de score heeft geleverd.
Betekent een CVSS van 9,2 dat ik ben gehackt?
Nee. De score zegt hoe ernstig de zwakke plek in theorie is, niet of iemand jouw site heeft aangevallen. Hij vertelt je hoe snel je je versie moet controleren en een update moet plannen.
Is CVSS het enige waar ik naar moet kijken?
Nee. Kijk ook of je een getroffen versie draait, of het kwetsbare onderdeel via internet bereikbaar is en of er bewijs is van misbruik in de praktijk, bijvoorbeeld in de CISA KEV-catalogus.