O CVE deu a cada falha de software um ID público, e toda a indústria de segurança o utiliza

No final da década de 1990, as ferramentas de segurança tinham cada uma seus próprios nomes para os mesmos bugs, de modo que um alerta de um scanner não podia ser correlacionado com um aviso de um fornecedor ou com uma entrada de banco de dados de outro produto. As informações sobre uma vulnerabilidade ficavam dispersas sob rótulos incompatíveis.

David Mann e Steven Christey, do MITRE, propuseram uma solução em um white paper, 'Towards a Common Enumeration of Vulnerabilities', apresentado em um workshop da Purdue em janeiro de 1999. Um grupo de trabalho — mais tarde o Conselho Editorial do CVE, com 19 membros — criou as primeiras 321 entradas do CVE, e a lista foi lançada oficialmente em setembro de 1999.

A medida foi uma camada de nomenclatura, não um monopólio de conteúdo: o CVE deliberadamente se manteve neutro quanto à severidade e aos detalhes, permitindo que fornecedores, pesquisadores e ferramentas mantivessem suas próprias descrições enquanto compartilhavam um único identificador. Até dezembro de 2000, 29 organizações haviam declarado 43 produtos compatíveis com o CVE.

A adoção se multiplicou. O National Vulnerability Database do NIST é construído em torno das entradas do CVE; a orientação do NIST recomendou o esquema; OWASP, Symantec e a imprensa especializada citam IDs do CVE, e a ITU-T adotou o CVE como recomendação internacional (X.1520). A nomenclatura tornou-se a linguagem comum da gestão de vulnerabilidades.

Um ID gratuito por bug; todo o resto pode discordar

Um identificador neutro, público e gratuito removeu a barreira para o acordo — ninguém precisou abrir mão de seu próprio banco de dados.

Cada fornecedor pôde citar o mesmo ID em um aviso, dando à indústria uma referência cruzada universal.

O NIST construiu o National Vulnerability Database sobre o CVE, tornando-o a espinha dorsal da segurança governamental e empresarial.

Scanners e avisos tornaram-se interoperáveis no nível da nomenclatura, sem qualquer formato de conteúdo compartilhado.

Se o ecossistema não consegue concordar sobre o conteúdo, dê a ele uma camada de nomenclatura compartilhada — a identidade é a coisa mais barata de padronizar e destrava a interoperabilidade.

O CVE cresceu de 321 entradas para mais de 100.000, com uma rede global de Autoridades de Numeração do CVE que atribuem IDs em nome do programa. Bugs famosos são conhecidos por seus IDs — o Heartbleed é o CVE-2014-0160 — e o identificador aparece em avisos, scanners, patches e reportagens em todo o mundo.