CVE, CVSS, KEV und EPSS: was die Begriffe im Sicherheitshinweis bedeuten

Ein NetScaler-Sicherheitshinweis enthält eine CVE-Nummer, einen CVSS-Wert, eine CWE-Kennung und oft den Satz, dass Ausnutzung beobachtet wurde. Daneben stehen in Meldungen von CISA und BSI Begriffe wie KEV und EPSS. Jede dieser Angaben beantwortet eine andere Frage.

Dieser Beitrag trennt die Begriffe, nennt jeweils, wer die Angabe vergibt, und zeigt an zwei NetScaler-Fällen, wie weit Bulletin, Ausnutzung und KEV-Eintrag zeitlich auseinanderliegen können.

Die Übersicht

Begriff	Aussage	Vergibt
CVE	Kennung der Schwachstelle	eine CNA, für NetScaler die CNA „NetScaler“
CVSS	Schwere, gemessen an ihren Eigenschaften	Base-Wert: Hersteller oder Analyst, Threat und Environmental: du
CWE	Art des zugrunde liegenden Fehlers	Hersteller, teils zusätzlich NIST oder CISA
KEV	Nachweis aktiver Ausnutzung	CISA
EPSS	Wahrscheinlichkeit der Ausnutzung in den nächsten 30 Tagen	FIRST

Eine CVE ist eine Kennung, keine Bewertung. Ob eine Lücke für dich dringend ist, ergibt sich aus Schwere, Ausnutzung und deiner eigenen Umgebung, und dafür gibt es jeweils eigene Angaben.

CVE: die Kennung

CVE steht für Common Vulnerabilities and Exposures. Das CVE Program vergibt für jede öffentlich bekannte Schwachstelle eine eindeutige Kennung, damit Hersteller, Behörden und Scanner dieselbe Lücke meinen, wenn sie darüber schreiben.

Die Kennung hat die Form CVE-<Jahr>-<Nummer>. Die Nummer hat mindestens vier Stellen und ist seit 2014 nach oben offen, CVE-2026-88771 ist also ebenso gültig wie eine siebenstellige Nummer.

Zu jeder Kennung gehört ein CVE-Datensatz im JSON-Format, aktuell Version 5.2. Er enthält die Beschreibung, betroffene Produkte und meist einen CVSS-Wert und eine CWE. Jeder Datensatz trägt einen Status, etwa RESERVED, PUBLISHED oder REJECTED.

Wichtig für die Einordnung: Der Datensatz kann mehrere Bereiche haben. Den Hauptteil füllt die vergebende Stelle. Weitere Stellen können ergänzen, etwa CISA mit eigenen Angaben zur Ausnutzung.

CNA: wer die Nummer vergibt

CVE-Nummern vergibt nicht eine zentrale Stelle, sondern eine CNA (CVE Numbering Authority). Das sind Hersteller, CERTs und Forschungseinrichtungen, die für einen festgelegten Bereich Nummern zuteilen. Stand Ende September 2026 hat das CVE Program 551 CNAs. Darüber stehen Roots und als oberste Ebene MITRE und CISA.

Für NetScaler hat sich die Zuständigkeit verschoben:

Zeitraum	Vergebende Stelle	Beispiel
2019	MITRE	CVE-2019-19781
2022 bis 2025	Citrix (CNA seit 2022)	CVE-2023-4966, CVE-2025-5777
ab 2026	NetScaler (eigene CNA seit 2025)	CVE-2026-3055, CVE-2026-88771

Für die Einordnung ist das wichtig: Die CNA schreibt die Beschreibung, legt die betroffenen Versionen fest und liefert in der Regel den ersten CVSS-Wert und die CWE. Bei CVE-2019-19781 hat MITRE vergeben, und der Hauptteil des Datensatzes enthält weder CVSS noch CWE.

CVSS: die Schwere

Das Common Vulnerability Scoring System von FIRST beschreibt die Schwere einer Lücke als Zahl zwischen 0 und 10. Im Umlauf sind zwei Versionen: 3.1 und 4.0. Version 4.0 ist seit November 2023 verfügbar. Citrix gibt seit 2025 in seinen Bulletins CVSS 4.0 an.

Wert	Einstufung
0.0	None
0.1 bis 3.9	Low
4.0 bis 6.9	Medium
7.0 bis 8.9	High
9.0 bis 10.0	Critical

Hinter der Zahl steht ein Vektor, der die Bewertung nachvollziehbar macht. Für CVE-2025-5777 lautet er:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

AV:N heißt Angriff über das Netz, AC:L geringe Komplexität, AT:N keine besonderen Bedingungen im Zielsystem, PR:N keine Anmeldung nötig, UI:N keine Mitwirkung eines Benutzers. VC, VI und VA beschreiben die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit des verwundbaren Systems selbst, SC, SI und SA die Auswirkung auf nachgelagerte Systeme. Der Vektor zeigt damit, worauf die Zahl beruht.

Was der Wert nicht ist

CVSS 4.0 kennt vier Metrikgruppen: Base, Threat (in 3.1 hieß sie Temporal), Environmental und Supplemental. Der Wert im Bulletin ist fast immer nur der Base-Wert. FIRST beschreibt ihn als Schwere der Lücke anhand ihrer eigenen Eigenschaften. Threat und Environmental sind ausdrücklich für den Anwender gedacht: ob die Lücke ausgenutzt wird, ob das betroffene System bei dir überhaupt erreichbar ist und was dahinter hängt.

Der Base-Wert beschreibt also die Lücke, nicht das Risiko in einer bestimmten Umgebung. Eine 9.8 in einer Funktion, die nur aus dem internen Netz erreichbar ist, kann weniger dringend sein als eine 7.5 auf einem Gateway im Internet.

Warum es zwei Werte geben kann

Für CVE-2023-4966 („Citrix Bleed“) stehen zwei CVSS-3.1-Werte in der NVD:

Bewertet von	Wert	Vektor (Auswirkung)
Citrix	9.4 Critical	C:H/I:H/A:L
NIST	7.5 High	C:H/I:N/A:N

Dieselbe Lücke, zwei Einschätzungen. Citrix setzt neben der Vertraulichkeit auch die Integrität hoch an (I:H), NIST nicht (I:N). Die Werte bilden unterschiedliche Annahmen ab, beide stehen im Datensatz. Für deine Priorisierung zählt, welche Folgen in deiner Umgebung eintreten.

CWE: die Fehlerklasse

Common Weakness Enumeration, gepflegt von MITRE, beschreibt Arten von Fehlern, nicht einzelne Lücken. Eine CVE ist ein konkreter Fall, die CWE die Klasse, zu der er gehört.

Bei NetScaler begegnen dir vor allem Speicherfehler:

CWE	Bedeutung
CWE-119	Speicherzugriff außerhalb der Puffergrenzen, allgemein
CWE-125	Lesen außerhalb der Grenzen (Out-of-bounds Read)
CWE-787	Schreiben außerhalb der Grenzen (Out-of-bounds Write)
CWE-22	Pfad-Traversierung
CWE-20	unzureichende Prüfung von Eingaben

CWE-119 ist eine Oberklasse. MITRE rät davon ab, sie einer konkreten Lücke zuzuordnen, und empfiehlt die genaueren Klassen 125 oder 787. In der Praxis wird sie trotzdem vergeben: Citrix hat CVE-2023-4966 als CWE-119 eingestuft, NIST dagegen mit „keine Angabe“. Für CVE-2026-88771 nennt die CNA CWE-20, der KEV-Katalog von CISA CWE-119.

Die CWE taugt deshalb zur groben Einordnung („Speicherfehler“, „Pfadfehler“), nicht als genaue technische Beschreibung.

NVD und CPE: die Anreicherung

Die National Vulnerability Database von NIST übernimmt die CVE-Datensätze und reichert sie an: mit eigenen CVSS-Werten, CWE und CPE-Angaben. CPE (Common Platform Enumeration) ist ein einheitliches Namensschema für Produkte und Versionen. Darüber lässt sich maschinell abgleichen, ob eine installierte Version betroffen ist.

Seit Anfang 2024 kommt NIST mit der Anreicherung nicht nach. Seit dem 15.04.2026 bearbeitet NIST vorrangig Lücken aus dem KEV-Katalog, Software von US-Bundesbehörden und besonders kritische Software. Der Rückstau aus der Zeit vor dem 01.03.2026 ist auf „Not Scheduled“ gesetzt. Hat die CNA bereits einen CVSS-Wert geliefert, vergibt NIST in der Regel keinen eigenen mehr.

Für dich heißt das: Ein fehlender NVD-Wert sagt nichts über die Schwere. Maßgeblich ist der Datensatz der CNA und das Bulletin des Herstellers.

KEV: nachweislich ausgenutzt

Der Known Exploited Vulnerabilities Catalog von CISA führt Lücken, für die es einen verlässlichen Nachweis aktiver Ausnutzung gibt. Aufgenommen wird eine Lücke, wenn drei Bedingungen erfüllt sind: Sie hat eine CVE-Nummer, sie wird nachweislich ausgenutzt, und es gibt eine klare Abhilfe.

Was nicht als Ausnutzung zählt, steht bei CISA ausdrücklich: Scans, Sicherheitsforschung und ein veröffentlichter Proof of Concept. Ein PoC zeigt, dass eine Ausnutzung möglich ist. Dass sie stattfindet, zeigt er nicht.

Der Katalog umfasst Anfang Oktober 2026 1.731 Einträge, davon 20 zu Citrix ADC, Gateway und NetScaler. Für US-Bundesbehörden ist er verbindlich: Seit Juni 2026 regelt das die Direktive BOD 26-04, die BOD 22-01 abgelöst hat. Die kürzeste Frist dort beträgt drei Tage. Außerhalb der US-Behörden ist KEV eine Empfehlung. Ein Eintrag bedeutet, dass die Lücke nachweislich angegriffen wird.

Umgekehrt bedeutet ein fehlender Eintrag nicht, dass niemand angreift. CVE-2019-19781 wurde ab Januar 2020 ausgenutzt und kam am 03.11.2021 in den Katalog. An diesem Tag hat CISA den Katalog eingeführt, einen früheren Eintrag konnte es nicht geben. Citrix Bleed wurde ab Ende August 2023 ausgenutzt und stand ab dem 18.10.2023 im Katalog. Der Katalog bestätigt Ausnutzung, er meldet sie nicht als Erster.

EPSS: die Wahrscheinlichkeit

Das Exploit Prediction Scoring System von FIRST schätzt für jede veröffentlichte CVE die Wahrscheinlichkeit, dass sie in den nächsten 30 Tagen ausgenutzt wird. Aktuell ist Version 5, im Einsatz seit dem 15.06.2026. Mit jedem Modellwechsel verschieben sich die Werte.

EPSS und CVSS messen Verschiedenes. CVSS beschreibt, wie schwer eine Lücke ist, EPSS, wie wahrscheinlich sie angegriffen wird. FIRST rät ausdrücklich davon ab, beide Werte zu multiplizieren. EPSS ist ein Baustein der Priorisierung, kein Ersatz für die eigene Bewertung.

Weitere Begriffe

Begriff	Bedeutung
Zero-Day	Angriff auf eine Lücke, die bis dahin unbekannt war
Proof of Concept (PoC)	Nachweis, dass eine Lücke ausnutzbar ist. Kein Beleg, dass sie ausgenutzt wird
Exploit	Code oder Vorgehen, das eine Lücke tatsächlich ausnutzt
Aktive Ausnutzung / in the wild	Ein Angreifer führt auf fremden Systemen ohne Erlaubnis Code aus. Das ist die Schwelle für KEV
Mitigation	vorübergehende Verringerung der Auswirkung oder der Ausnutzbarkeit, ohne die Lücke zu schließen
Workaround	Umgehung, mit der sich eine Lücke ohne Update entschärfen lässt. Für CVE-2023-4966 etwa gab es ausdrücklich keinen
Fix / behobener Build	die Version, in der die Lücke geschlossen ist
IoC (Indicator of Compromise)	technische Spuren, die auf einen bevorstehenden, laufenden oder erfolgten Angriff hindeuten

So liest du ein NetScaler-Bulletin

Citrix veröffentlicht Sicherheitshinweise als Artikel mit einer CTX-Nummer. Ein aktuelles Bulletin enthält je CVE dieselben Bausteine, und die Reihenfolge, in der du sie liest, spart Zeit:

1. Voraussetzungen. Viele NetScaler-Lücken betreffen nur Appliances mit einer bestimmten Rolle, typisch: „Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) or AAA virtual server“. Trifft das nicht zu, ist die Appliance von dieser CVE nicht betroffen, auch wenn der Build in der Liste steht.
2. Betroffene und behobene Builds. Je Release-Zweig ein Build, ab dem die Lücke geschlossen ist. Für Versionen am Ende ihrer Unterstützung steht ein eigener Hinweis dabei.
3. Ausnutzung. Der Satz „Exploits … have been observed“ bedeutet: nicht abwarten.
4. CVSS und CWE. Zur Einordnung, nicht zur Entscheidung.
5. Maßnahmen nach dem Update. Bei Lücken, über die Sitzungsdaten abfließen können, empfiehlt Citrix, nach dem Update alle bestehenden Sitzungen zu beenden, etwa mit kill icaconnection -all und kill aaa session -all. Sonst bleiben gestohlene Sitzungen gültig.

Wie sich die Voraussetzungen und Builds für jede Appliance prüfen lassen, steht am Beispiel des Bulletins CTX697096 im Beitrag NetScaler CVE-2026-88771 bis 88778: Betroffenheit prüfen.

Zwei Fälle

CVE-2019-19781

Datum	Ereignis
17.12.2019	Bulletin mit Mitigation, noch kein Fix
10./11.01.2020	öffentliche Exploits
spätestens 16.01.2020	Ausnutzung beobachtet
19. bis 24.01.2020	behobene Builds je Zweig
03.11.2021	Aufnahme in den KEV-Katalog

CVSS 3.1 9.8, CWE-22 (Pfad-Traversierung), vergeben von MITRE. Gut fünf Wochen lang gab es nur die Mitigation. Das BSI zählte damals rund 5.000 verwundbare Systeme in Deutschland.

CVE-2023-4966 („Citrix Bleed“)

Datum	Ereignis
Ende August 2023	Ausnutzung als Zero-Day (Mandiant)
10.10.2023	Bulletin CTX579459 mit Fix
18.10.2023	Aufnahme in den KEV-Katalog
23.11.2023	Warnung des BSI

Citrix 9.4, NIST 7.5, CWE-119. Die Lücke ließ Sitzungsdaten abfließen, Angreifer übernahmen damit Sitzungen und umgingen Passwort und MFA. Deshalb gehörte das Beenden aller Sitzungen nach dem Update zur Abhilfe.

Beide Fälle zeigen: Die Ausnutzung begann vor dem behobenen Build (2019) oder sogar vor dem Bulletin (2023), der KEV-Eintrag kam erst danach. Ob eine Appliance in diesem Zeitraum angegriffen wurde, klärt kein Update. Wie man danach sucht, steht am aktuellen Fall im Beitrag NetScaler CVE-2026-88771: Angriffsspuren in den Logs erkennen.

Was du dir merkst

CVE sagt, worum es geht. CVSS sagt, wie schwer die Lücke an sich ist. KEV sagt, dass sie angegriffen wird. EPSS schätzt, wie wahrscheinlich das ist.

Keine dieser Angaben kennt deine Umgebung. Für die Entscheidung zählen die Voraussetzungen im Bulletin, die Erreichbarkeit deiner Appliance und die Frage, ob Ausnutzung beobachtet wurde. Steht „exploits observed“ im Bulletin, ist die Zahl dahinter zweitrangig.

Quellen

• CVE ID Syntax Change, CVE Program: Aufbau der Kennung
• Liste der CVE-Partner, CVE Program: CNAs, darunter Citrix und NetScaler
• CVE Record Format, CVE Program: Datensatzformat 5.x
• CVSS v4.0 Specification Document und CVSS v3.1 Specification Document, FIRST
• CWE-119, MITRE: Oberklasse und Empfehlung zur Zuordnung
• NIST Updates NVD Operations, NIST, April 2026
• Known Exploited Vulnerabilities Catalog, CISA: Aufnahmekriterien
• BOD 26-04, CISA
• EPSS und EPSS FAQ, FIRST
• NIST CSRC Glossary: Zero-Day, IoC, Mitigation
• CTX579459, Citrix: CVE-2023-4966
• CVE-2023-4966: Critical security update, NetScaler-Blog: Sitzungen beenden
• AA20-020A, CISA: CVE-2019-19781
• AA23-325A, CISA: Ausnutzung von CVE-2023-4966

---

Stand der Angaben: Oktober 2026. EPSS-Version, Arbeitsweise der NVD und CISA-Direktiven ändern sich. Maßgeblich sind die verlinkten Quellen.