CVSS steht für Common Vulnerability Scoring System. Es ist ein offener Standard, mit dem die Schwere einer Sicherheitslücke als Zahl zwischen 0,0 und 10,0 bewertet wird. Je höher der Wert, desto dringender sollte die Lücke geschlossen werden.
Wie wird der CVSS-Wert gelesen?
Die üblichen Stufen sind: 0,1 bis 3,9 niedrig, 4,0 bis 6,9 mittel, 7,0 bis 8,9 hoch und 9,0 bis 10,0 kritisch. In die Bewertung fließen unter anderem ein, ob sich die Lücke über das Internet ausnutzen lässt, wie aufwendig ein Angriff ist, ob dafür eine Anmeldung nötig ist und wie stark Vertraulichkeit, Integrität und Verfügbarkeit betroffen sind.
Was der Wert nicht sagt
Der CVSS-Wert beschreibt die technische Schwere, nicht dein persönliches Risiko. Ob eine Lücke bei dir relevant ist, hängt davon ab, ob die betroffene Software bei dir läuft und ob schon Angriffe beobachtet werden. Deshalb gehört zu jeder Bewertung auch ein Blick darauf, ob bereits ein Patch vorliegt.
Beispiel
Die PHP-Lücken PHP2Shell (CVE-2026-109618 und CVE-2026-109619) wurden laut Berichten mit einem CVSS-Wert von 9,2 bewertet und gelten damit als kritisch. Zur Einordnung von Kennungen wie diesen siehe CVE.
Wir halten Webseiten, Server und Software unserer Kunden aktuell. Mehr dazu in unserer Leistung IT-Sicherheit.