De NVD is de openbare database van de Amerikaanse overheid met bekende beveiligingsproblemen in software, aangevuld met scores en uitleg. Beveiligingstools en hostingpartijen halen er vaak hun informatie vandaan. Zie je een melding over jouw site, dan kan de NVD helpen te zien wat het probleem inhoudt.
Wat is de NVD?
Het beheer ligt bij NIST, het Amerikaanse National Institute of Standards and Technology, en veel scanners, hostingdashboards en beveiligingstools lezen eruit.
De NVD deelt geen CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft.-nummers uit. Dat doen het CVE-programma en de aangesloten uitgevers. De NVD pakt elk gepubliceerd record op en verrijkt het. Hij voegt een CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico.-score toe, een indeling naar soort zwakte en een machineleesbare lijst met getroffen producten en versies, zodat tools een fout kunnen koppelen aan de software die jij draait.
Dat laatste maakt de NVD in de praktijk belangrijk. Meldt een scanner dat jouw site een bepaalde kwetsbaarheid “heeft”, dan vergelijkt hij meestal de gevonden versies met de productgegevens in een database als deze.
Waarom de NVD achterloopt
Een nieuw record verschijnt niet kant-en-klaar geanalyseerd. De NVD ontvangt het eerst en werkt daarna een wachtrij af. Tussen die twee momenten heeft een record een status zoals Received, wat alleen betekent dat de analyse nog niet is gedaan. Een ontbrekende NVD-score wil niet zeggen dat de fout klein is, en een late score is geen reden om te wachten.
Wat de NVD betekent voor een PHP- of WordPress-site
De meeste waarschuwingen in plugins en scanners gaan terug op NVD-gegevens. Bij PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. zelf noemt een record voor de taal de getroffen takken. Bij WordPressWordPress is een programma waarmee je een website maakt en beheert zonder te hoeven programmeren. gaan de vermeldingen vooral over plugins en themaEen WordPress-thema is het ontwerp van je WordPress-site: het bepaalt hoe pagina's eruitzien en hoe ze zijn opgebouwd.’s, waardoor de database handig is om precies de add-on te controleren die jij draait.
De NVD is een naslagwerk, geen vonnis. Hij beschrijft een kwetsbaarheidEen kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat. in het algemeen. Hij weet niet of de kwetsbare functie op jouw site aanstaat, of dat je host al een fix in de eigen pakketten heeft gezet.
Een concreet voorbeeld
Voor de twee PHP-kwetsbaarheden die op 21 oktober 2026 zijn verholpen, CVE-2026-109618 en CVE-2026-109619, publiceerde de PHP Group de CVE-records op cve.org. De NVD ontving beide dezelfde dag om 14:17 UTC en rondde om 17:01 UTC zijn analyse af (status Analyzed). De NVD geeft beide een eigen score van CVSS v3.1 9.8, naast CVSS v4.0 9.2 van het PHP-project. Ook rekent de NVD alle PHP-versies vóór 8.2.35 tot de getroffen versies, ruimer dan de CVE-records van het PHP-project. Hoe zo’n verschil er in de praktijk uitziet, zie je op onze pagina over PHP2Shell, waar elk feit zijn bron en controletijd heeft.
Wanneer je de NVD gebruikt, en wanneer je handelt
Gebruik de NVD als je de lijst met getroffen producten wilt, het soort zwakte of een tweede mening over de ernst. Gebruik de security advisoryEen security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. van de maker als je wilt weten wat je moet installeren. Noemt de advisory opgeloste versies, dan is dat je startsein, wat de NVD-status ook zegt. Voor misbruik in de praktijk kijk je in de catalogus van CISA KEVCISA KEV is een lijst van de Amerikaanse overheidsdienst CISA met beveiligingsproblemen die aanvallers aantoonbaar echt hebben gebruikt. en niet in de NVD.
Weet je niet welke PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. je site draait, begin dan met je PHP-versie controleren. Is je versie buiten support, dan is de volgende stap een overstap naar een ondersteunde tak met onze hulp bij php updaten, gepland met een back-upEen back-up is een kopie van je hele website, apart bewaard, zodat je hem kunt terugzetten als er iets misgaat. en een weg terug.
Veelgestelde vragen
Is de NVD hetzelfde als CVE?
Nee. Het CVE-programma geeft nummers uit en publiceert het basisrecord. De NVD is een aparte database van de Amerikaanse overheid die die records overneemt en er eigen analyse, scores en productgegevens aan toevoegt.
Waarom heeft een nieuwe CVE nog geen NVD-score?
De NVD ontvangt records eerst en analyseert ze daarna, dus er zit vaak een gat tussen. Een record met de status Received is simpelweg nog niet geanalyseerd. Dat zegt niets over hoe ernstig de fout is.
Moet ik op de NVD wachten voordat ik update?
Nee. De advisory van de softwaremaker en het CVE-record zijn genoeg om te beslissen. Zegt de maker dat je moet updaten, dan heb je geen NVD-vermelding nodig om te beginnen met plannen.
Is de NVD-score de officiële ernst?
Het is één score naast mogelijk andere. De partij die het CVE-record publiceerde kan ook een score hebben gegeven, en die twee kunnen verschillen. Kijk wie welke score heeft geleverd.