\n \n
Ce este CVE și de ce contează atât de mult în securitatea cibernetică?
\n
Programul Common Vulnerabilities and Exposures (CVE®)\n este unul dintre pilonii fundamentali ai securității cibernetice \nglobale. CVE oferă un sistem standardizat de identificare și catalogare a\n vulnerabilităților descoperite în software-uri, servicii și \ninfrastructuri IT. Fără el, soluțiile de tip SIEM, EDR, patch management\n sau threat intelligence ar funcționa... pe bâjbâite.
\n
Ce s-a întâmplat acum?
\n
Pe 15 aprilie 2025, a fost scurs un document intern semnat de Yosry Barsoum, Vicepreședinte MITRE, care confirma că contractul MITRE pentru dezvoltarea și întreținerea CVE expiră oficial pe 16 aprilie 2025. Confirmarea oficială a venit și din partea MITRE, într-un răspuns trimis publicației Cyber Security News.
\n
Acest contract include și alte componente esențiale precum:
\n
\n
- \nCWE – Common Weakness Enumeration\n\n
- \nSuportul pentru modernizarea infrastructurii de raportare\n\n
- \nActualizarea bazei de date la formatul JSON\n\n
- \nExtinderea spre vulnerabilități de tip serviciu, nu doar software clasic\n\n
\n
Ce înseamnă această întrerupere pentru industrie?
\n
Dacă nu se prelungește contractul, pot apărea consecințe grave:
\n
\n
- \nÎncetinirea înregistrării CVE-urilor – ceea ce duce la întârzierea patch-urilor de securitate.\n\n
- \nImpact asupra vendorilor care depind de CVE-uri pentru a prioritiza și automatiza procesele de răspuns.\n\n
- \nRiscuri directe pentru infrastructuri critice care se bazează pe aceste date pentru protecție activă.\n\n
- \nDisfuncționalități în tool-urile de Threat Intelligence, SIEM și EDR, care consumă datele CVE.\n\n
\n
Ce spune MITRE?
\n\n
“Guvernul continuă să facă eforturi considerabile pentru a susține \nrolul MITRE în program. MITRE rămâne dedicat CVE ca resursă globală.”
\n\n
Cu alte cuvinte, este posibil ca activitatea să continue în viitorul apropiat, dar fără o finanțare garantată, totul e nesigur.
\n
De ce este îngrijorătoare această schimbare?
\n
Programul CVE este piatra de temelie pentru o industrie estimată la peste 37 de miliarde de dolari. Orice întrerupere poate crea:
\n
\n
- \nConfuzie în rândul furnizorilor\n\n
- \nLipsă de încredere în actualitatea vulnerabilităților raportate\n\n
- \nO oportunitate pentru actorii malițioși să exploateze fereastra de haos\n\n
\n
Ce urmează?
\n
Rămâne de văzut dacă:
\n
\n
- \nGuvernul SUA va prelungi rapid contractul cu MITRE\n\n
- \nVa apărea un nou operator pentru programul CVE\n\n
- \nComunitatea open-source va trebui să acopere golul\n\n
\n
Concluzie
\n
Suntem într-un moment critic pentru securitatea cibernetică globală. CVE este mai mult decât o simplă bază de date – este sistemul imunitar al internetului modern. Monitorizează cu atenție evoluțiile din zilele următoare.
\n
Ce poți face tu ca profesionist în securitate?
\n
\n
- \nFii vigilent la noi CVE-uri publicate, chiar dacă vor exista întârzieri\n\n
- \nUtilizează surse alternative ca ExploitDB, NVD, CERT-uri regionale\n\n
- \nPregătește-ți infrastructura pentru eventuale întârzieri în actualizările automate
\n