Program CVE traci finansowanie – zagrożone globalne bezpieczeństwo cyfrowe

MITRE Corporation, organizacja non-profit odpowiedzialna za program Common Vulnerabilities and Exposures (CVE), potwierdziła, że kontrakt na jego rozwój, obsługę i modernizację wygasa 16 kwietnia 2025 r. Tak, dziś.

Program CVE, stanowiący globalny standard identyfikacji i śledzenia publicznie ujawnionych luk w zabezpieczeniach oprogramowania, jest wykorzystywany przez firmy takie jak Microsoft, Google, Apple, Intel czy AMD. Brak dalszego finansowania może zagrozić jego funkcjonowaniu.

MITRE otrzymywało środki na program CVE od Departamentu Bezpieczeństwa Krajowego USA (DHS) oraz Agencji Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA). Yosry Barsoum, wiceprezes MITRE, oświadczył, że organizacja pozostaje zaangażowana w utrzymanie programu jako globalnego zasobu, a rząd USA podejmuje wysiłki, by wspierać jej rolę. Jednak wygaśnięcie kontraktu, o czym jako pierwszy informował wyciek listu do członków zarządu CVE opublikowany na platformach X i Bluesky, budzi obawy o przyszłość programu.

I żebyśmy zdali sobie sprawę z powagi sytuacji: program CVE, czyli Common Vulnerabilities and Exposures, to międzynarodowy system służący do identyfikacji, katalogowania i publicznego ujawniania luk w zabezpieczeniach oprogramowania oraz systemów informatycznych. Jego celem jest zapewnienie standardowego sposobu opisywania i śledzenia podatności, co umożliwia firmom, badaczom i specjalistom ds. cyberbezpieczeństwa szybkie rozpoznawanie zagrożeń, ocenę ich powagi oraz priorytetyzację działań naprawczych. Program jest zarządzany przez MITRE Corporation, organizację non-profit, przy wsparciu finansowym, między innymi, Departamentu Bezpieczeństwa Krajowego USA (DHS).
Każda luka zgłoszona w ramach programu otrzymuje unikalny identyfikator CVE w formacie „CVE-rok-numer” (np. CVE-2025-12345), co pozwala na jej jednoznaczną identyfikację w globalnych bazach danych. Rekordy CVE zawierają opis podatności, jej potencjalny wpływ oraz, w miarę możliwości, odniesienia do poprawek lub środków zaradczych. System jest wykorzystywany przez największe firmy technologiczne, takie jak Microsoft, Google, Apple, Intel czy AMD, a także organizacje rządowe i niezależnych badaczy. Czy rozumiecie co oznacza wyłączenie tej bazy (i jej regularnej aktualizacji) z powodu braku finansowania?

Czytaj Więcej