> ## Content Index
> Fetch the complete content index at: https://blog.awansiber.co.id/llms.txt
> Use this file to discover other available public pages before exploring further.

# CVE dan database kerentanan lain yang perlu dipantau
- URL: https://blog.awansiber.co.id/cve-dan-database-kerentanan/
- Published: 2026-11-14T03:51:56.000Z
- Updated: 2026-11-14T03:51:56.000Z
- Description: CVE memberi nama pada kerentanan, tetapi tidak memberi tahu mana yang harus ditambal dulu. Kenali NVD, CISA KEV, EPSS, EUVD, OSV, dan sumber lainnya.
- Author: Awan Siber
- Tags: Tips & Panduan

CVE adalah nomor identitas kerentanan, bukan penilaian seberapa berbahaya kerentanan itu.  
Skor CVSS mengukur dampak teknis; KEV dan EPSS menunjukkan apakah kerentanan benar-benar dieksploitasi.  
Tidak ada satu database yang lengkap: gabungkan CVE/NVD dengan advisory vendor dan database ekosistem seperti OSV dan GitHub Advisory.  
Prioritaskan tambalan dari daftar kerentanan yang aktif dieksploitasi, bukan dari skor tertinggi saja.

Setiap kali ada pengumuman "kerentanan kritis", hampir selalu muncul kode seperti `CVE-2021-44228`. Kode ini adalah cara dunia keamanan menyebut satu kerentanan dengan nama yang sama, sehingga vendor, tim TI, dan pemindai keamanan tidak saling salah paham. Tetapi CVE hanyalah salah satu bagian dari ekosistem informasi kerentanan. Artikel ini menjelaskan cara membaca CVE dan database lain yang perlu Anda kenal.

## Apa itu CVE

**CVE (Common Vulnerabilities and Exposures)** adalah daftar publik kerentanan keamanan yang sudah diketahui. Program ini dikelola MITRE dengan pendanaan dari CISA, badan keamanan siber Amerika Serikat, dan berjalan sejak 1999.

Nomor CVE ditulis dengan format `CVE-TAHUN-NOMOR`. Tahun menunjukkan kapan nomor itu dicadangkan, bukan kapan kerentanan ditemukan, dan bagian nomor berisi minimal empat digit. Contoh terkenal adalah `CVE-2021-44228`, kerentanan Log4Shell pada pustaka Java Log4j.

Nomor CVE diberikan oleh **CNA (CVE Numbering Authority)**: vendor perangkat lunak, CERT nasional, dan lembaga riset yang berwenang memberi nomor untuk produk dalam cakupannya. Microsoft, Google, Red Hat, dan ratusan organisasi lain berstatus CNA.

### Yang ada dan yang tidak ada di CVE

Sebuah catatan CVE berisi nomor, deskripsi singkat, produk dan versi terdampak, serta tautan referensi. CVE *tidak* memberi tahu seberapa berbahaya kerentanan itu bagi sistem Anda, apakah sudah ada eksploit, atau apakah sedang dipakai penyerang. Informasi itu datang dari sumber lain di bawah ini.

## Istilah pendamping yang perlu dikenal

| Istilah | Fungsinya                                                                                             | Contoh                               |
| ------- | ----------------------------------------------------------------------------------------------------- | ------------------------------------ |
| CVSS    | Skor keparahan teknis 0–10, dikelola FIRST. Versi terbaru 4.0, versi 3.1 masih paling banyak dipakai. | Log4Shell: 10.0 (kritis)             |
| CWE     | Kategori jenis kelemahan yang menjadi akar kerentanan.                                                | CWE-79 (XSS), CWE-89 (SQL injection) |
| CPE     | Penamaan standar produk dan versi, dipakai pemindai untuk mencocokkan kerentanan dengan aset.         | cpe:2.3:a:apache:log4j:2.14.1        |
| EPSS    | Perkiraan peluang sebuah CVE dieksploitasi dalam 30 hari ke depan, dikelola FIRST.                    | 0,94 berarti peluang sekitar 94%     |

Rentang skor CVSS: 0,1–3,9 rendah, 4,0–6,9 sedang, 7,0–8,9 tinggi, dan 9,0–10,0 kritis. Skor ini mengukur sifat teknis kerentanan, bukan risiko di lingkungan Anda. Kerentanan kritis pada server yang tidak terhubung ke internet bisa lebih rendah risikonya daripada kerentanan "sedang" pada VPN yang terbuka ke publik.

## Database kerentanan selain CVE

### NVD (National Vulnerability Database)

Dikelola NIST di Amerika Serikat. NVD mengambil setiap catatan CVE lalu menambahkan skor CVSS, kategori CWE, dan daftar CPE produk terdampak. Banyak pemindai kerentanan memakai NVD sebagai sumber utama. Sejak 2024 NVD kewalahan dengan antrean analisis, dan pada April 2026 NIST berhenti menganalisis semua CVE. Kini prioritasnya kerentanan yang masuk katalog KEV dan perangkat lunak penting, sementara puluhan ribu CVE lama berstatus "Not Scheduled". Artinya, banyak CVE di NVD tidak akan pernah punya skor atau daftar produk dari NIST. Jangan menganggap "belum ada skor" sebagai "tidak berbahaya"; periksa skor dari CNA atau vendor.

### CISA KEV (Known Exploited Vulnerabilities)

Katalog kerentanan yang terbukti sudah dieksploitasi di dunia nyata, diterbitkan CISA sejak 2021\. Isinya jauh lebih sedikit daripada daftar CVE, dan justru itu kekuatannya: setiap entri adalah kerentanan yang sedang dipakai penyerang. Katalog ini tersedia dalam format CSV dan JSON, mudah dicocokkan dengan daftar aset. Bila sebuah kerentanan di sistem Anda masuk KEV, tambal lebih dulu, berapa pun skor CVSS-nya.

### EUVD (European Vulnerability Database)

Database kerentanan Uni Eropa yang diluncurkan ENISA pada Mei 2025 sebagai amanat NIS2\. EUVD memuat kerentanan dengan identitas EUVD sendiri sekaligus merujuk nomor CVE, dan menandai kerentanan kritis serta yang sudah dieksploitasi. Kehadirannya juga dipandang sebagai cadangan setelah kontrak pendanaan program CVE sempat nyaris berakhir pada April 2025\. Kontrak itu kemudian diperpanjang, dan menurut laporan media pada Maret 2026 dinegosiasi ulang sehingga tidak lagi punya tenggat dekat, tetapi pendanaannya masih bergantung pada pemerintah Amerika Serikat.

### GitHub Advisory Database

Database kerentanan untuk paket open source: npm, PyPI, Maven, NuGet, Go, RubyGems, Composer, Rust, dan lainnya. Entrinya memakai nomor `GHSA-xxxx-xxxx-xxxx` dan dirujuk silang ke CVE bila ada. Sumber inilah yang dipakai Dependabot untuk memberi peringatan pada repositori yang memakai pustaka rentan.

### OSV (Open Source Vulnerabilities)

Proyek dari Google di [osv.dev](https://osv.dev/?ref=blog.awansiber.co.id) yang mengumpulkan advisory dari banyak ekosistem, termasuk GitHub Advisory, PyPI, Go, Rust, dan distribusi Linux seperti Debian, Ubuntu, dan Alpine, dalam satu format terbuka. Keunggulannya, rentang versi terdampak ditulis presisi sehingga mudah dicocokkan otomatis. Alat `osv-scanner` bisa memeriksa berkas dependensi proyek Anda terhadap database ini.

### Advisory vendor dan distribusi Linux

Untuk produk tertentu, sumber paling akurat adalah vendornya sendiri: Microsoft Security Update Guide, advisory Cisco, Fortinet PSIRT, Red Hat Security Data, Ubuntu Security Notices (USN), dan Debian Security Tracker. Di sini Anda menemukan versi perbaikan yang tepat, langkah mitigasi sementara, dan kadang informasi lebih awal daripada NVD.

### Database nasional dan komersial lain

- **JVN** (Japan Vulnerability Notes), dikelola JPCERT/CC dan IPA Jepang, kuat untuk produk dari vendor Jepang.
- **CNNVD dan CNVD** di Tiongkok, serta **BDU** milik FSTEC Rusia, yang sering memuat produk lokal yang tidak ada di CVE.
- **VulDB**, database komunitas dan komersial yang juga berstatus CNA.
- **Database komersial** seperti Flashpoint VulnDB dan Snyk Vulnerability Database, yang mengklaim cakupan lebih luas dan analisis lebih cepat.
- **Exploit-DB** dari OffSec, arsip kode eksploit publik. Bukan database kerentanan, tetapi berguna untuk mengetahui apakah eksploit sudah beredar.

## Ringkasan perbandingan

| Sumber               | Pengelola            | Cocok untuk                         |
| -------------------- | -------------------- | ----------------------------------- |
| CVE                  | MITRE / CISA         | Nomor identitas bersama             |
| NVD                  | NIST                 | Skor CVSS, CWE, dan daftar produk   |
| CISA KEV             | CISA                 | Daftar prioritas tambalan           |
| EPSS                 | FIRST                | Peluang eksploitasi                 |
| EUVD                 | ENISA                | Sumber alternatif berbasis Eropa    |
| GitHub Advisory, OSV | GitHub, Google       | Dependensi aplikasi dan open source |
| Advisory vendor      | Masing-masing vendor | Versi perbaikan dan mitigasi resmi  |

## Cara memakainya untuk prioritas tambalan

1. **Kenali aset Anda.** Database kerentanan tidak berguna tanpa daftar perangkat lunak dan versinya. Mulai dari sistem yang terbuka ke internet: VPN, firewall, email, dan aplikasi web.
2. **Tambal yang masuk KEV lebih dulu.** Langganan pembaruan katalog KEV dan cocokkan dengan inventaris aset setiap minggu.
3. **Urutkan sisanya dengan CVSS dan EPSS.** Skor CVSS tinggi dengan EPSS tinggi pada sistem yang terbuka ke internet adalah prioritas berikutnya.
4. **Pantau advisory vendor produk inti.** Ikuti milis atau RSS keamanan vendor firewall, VPN, dan sistem operasi yang Anda pakai.
5. **Periksa dependensi aplikasi.** Aktifkan Dependabot atau jalankan `osv-scanner` di pipeline pengembangan.
6. **Tetapkan target waktu.** Misalnya kerentanan KEV pada sistem internet ditambal dalam 7 hari, kritis lainnya dalam 14 hari, sisanya mengikuti siklus bulanan.

Database kerentanan memberi tahu apa yang perlu diperbaiki. Keputusan urutannya tetap ada di tangan tim Anda, dan keputusan itu paling tepat bila didasarkan pada aset yang benar-benar Anda miliki dan seberapa terbuka aset itu.