CVE는 모든 소프트웨어 결함에 하나의 공개 ID를 부여했고, 보안 업계 전체가 이를 사용한다

1990년대 후반에는 보안 도구마다 동일한 버그에 대해 각기 다른 이름을 사용했기 때문에, 한 스캐너의 경고를 공급업체의 권고문이나 다른 제품의 데이터베이스 항목과 연관지을 수 없었다. 취약점에 관한 정보는 서로 호환되지 않는 레이블 아래에 흩어져 있었다.

MITRE의 David Mann과 Steven Christey는 1999년 1월 Purdue 워크숍에서 발표한 백서 'Towards a Common Enumeration of Vulnerabilities'에서 해결책을 제안했다. 작업 그룹(훗날 19명으로 구성된 CVE 편집 위원회)이 최초의 321개 CVE 항목을 만들었고, 이 목록은 1999년 9월에 공식 출시되었다.

이 조치는 명명 계층이었을 뿐 콘텐츠를 독점하는 것은 아니었다. CVE는 심각도와 세부 사항에 대해 의도적으로 중립을 유지하여, 공급업체와 연구자, 도구가 각자의 설명을 유지하면서 하나의 식별자를 공유할 수 있게 했다. 2000년 12월까지 29개 조직이 43개 제품이 CVE 호환임을 선언했다.

채택은 더욱 확대되었다. NIST의 국가취약점데이터베이스(NVD)는 CVE 항목을 중심으로 구축되었고, NIST 지침은 이 체계를 권장했으며, OWASP와 Symantec, 업계 언론은 CVE ID를 인용했고, ITU-T는 CVE를 국제 권고(X.1520)로 채택했다. 명명은 취약점 관리의 공통 언어가 되었다.

버그마다 하나의 무료 ID가 부여되며, 그 밖의 모든 것은 서로 달라도 된다

중립적이고 공개적이며 무료인 식별자는 합의의 장벽을 제거했다. 누구도 자신의 데이터베이스를 포기할 필요가 없었다.

모든 공급업체가 권고문에서 동일한 ID를 인용할 수 있었고, 이는 업계에 보편적인 상호 참조를 제공했다.

NIST는 CVE를 기반으로 국가취약점데이터베이스를 구축하여, 이를 정부와 기업 보안의 중추로 만들었다.

스캐너와 권고문은 공유된 콘텐츠 형식 없이도 명명 수준에서 상호 운용이 가능해졌다.

생태계가 콘텐츠에 합의할 수 없다면, 공유된 명명 계층을 제공하라. 식별자는 표준화하기에 가장 저렴한 요소이며 상호 운용성을 열어준다.

CVE는 321개 항목에서 10만 개 이상으로 성장했으며, 프로그램을 대신해 ID를 부여하는 CVE 번호 부여 기관(CNA)의 글로벌 네트워크를 갖추게 되었다. 유명한 버그는 그 ID로 알려져 있으며(Heartbleed는 CVE-2014-0160), 이 식별자는 전 세계의 권고문, 스캐너, 패치, 뉴스 보도에 등장한다.