いったデータベースや、ベンダーその他の組織が管理するさまざまなリストで確認できます。これらのシステムで共通して使用され、個々のセキュリティの脆弱性を識別する信頼できる識別子としての機能を果たしています。よって割り振られます。ベンダー、セキュリティ企業、リサーチ組織が名を連ねています。発行することもあります。ブロックが発行され、新しい脆弱性が発見されると確保している中から番号が割り振られます。毎年数千単位で発行されています。発行されることもあります。報告はあらゆるところから届きます。ベンダーやリサーチャーから報告が上がることもあれば、熱心なユーザーが欠陥を発見して誰かに伝えることもあります。多くのベンダーでは、バグの発見に報奨金を出して、セキュリティの脆弱性が無責任に拡散されないようにしています。オープンソース・ソフトウェアで脆弱性を発見した場合は、コミュニティに報告してください。割り振り、簡単な説明と参照情報を追加します。サイトで公開されます。このすべてが短時間で処理されるわけではありません。一般的に、ベンダーは対策の開発とテストが終了するまでセキュリティ問題の情報を公開しません。これにより、未対応の問題が攻撃者に利用されないようにします。割り振るには、次のようないくつかの条件を満たす必要があります。個別に修正可能であること。他のバグとは関係なく、単独で修正できなくてはなりません。当事者たるベンダーが認めていること。ソフトウェアまたはハードウェアのベンダーが、そのバグの存在と、セキュリティに悪影響があることを認めていなくてはなりません。文書化されていること。報告者が、そのバグにより悪影響がもたらされ、かつ、そのバグが該当システムのセキュリティポリシーを侵害するものであることを示すレポートを公開していなくてはなりません。つのコードベースに影響するものであること。