Programa CVE para rastrear fallas de seguridad enfrenta la pérdida de fondos federales

Se avecina una crisis de financiación para un programa crítico de ciberseguridad

El programa de Vulnerabilidades y Exposiciones Comunes (CVE), un pilar para los esfuerzos de ciberseguridad a nivel mundial, enfrenta una situación crítica ya que su financiación está a punto de expirar. Este programa, utilizado por gigantes tecnológicos como Microsoft, Google, Apple, Intel y AMD, desempeña un papel crucial en la identificación y seguimiento de vulnerabilidades de ciberseguridad conocidas públicamente. Es una herramienta que ayuda a los ingenieros a evaluar la gravedad de los exploits y priorizar los parches o mitigaciones necesarios.

MITRE, la organización detrás de CVE, reveló a *The Verge* que su contrato para gestionar y mejorar el programa finalizará el 16 de abril. Desde su inicio en 1999, CVE ha mantenido una base de datos vital donde las organizaciones pueden asignar identificadores únicos a vulnerabilidades conocidas. Estos identificadores, con el formato "CVE" seguido de un año y un número (por ejemplo, CVE-2022-27254), permiten a los profesionales de seguridad seguirle la pista a las vulnerabilidades que podrían afectar dispositivos cotidianos y sistemas críticos.

Impacto global de la falta de financiación de CVE

El investigador de seguridad y privacidad Lukasz Olejnik recurrió a X para expresar sus preocupaciones, advirtiendo que sin un apoyo continuo, el sistema CVE podría "paralizar" los esfuerzos globales de ciberseguridad. Enfatizó que la ausencia de CVE podría llevar a una ruptura en la coordinación entre proveedores, analistas y sistemas de defensa, resultando en una confusión generalizada y un debilitamiento significativo de las medidas de ciberseguridad.

A pesar de la fecha límite inminente, Yosry Barsoum, vicepresidente y director del Centro para la Seguridad de la Patria de MITRE, se mantiene optimista. En un comunicado por correo electrónico a *The Verge*, Barsoum señaló que el gobierno está trabajando activamente para sostener el rol de MITRE en el programa, y MITRE está comprometido a mantener CVE como un recurso global. También mencionó que el cambio en la financiación podría impactar el programa relacionado de Enumeración de Debilidades Comunes, que se centra en catalogar debilidades de hardware y software.

Documentos filtrados y declaraciones oficiales

La urgencia de la situación salió a la luz a través de una carta filtrada a los miembros de la junta de CVE, que fue compartida en las plataformas sociales X y Bluesky. MITRE, que recibe su financiación del Departamento de Seguridad Nacional de EE. UU. (DHS) y la Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA), tiene la tarea de operar y avanzar en el Programa CVE como un tercero independiente y objetivo, según se describe en un video oficial sobre el programa.

La posible interrupción de la financiación para el programa CVE es un recordatorio crudo de la naturaleza frágil de la infraestructura de ciberseguridad. A medida que se acerca la fecha límite, la comunidad tecnológica y los profesionales de seguridad de todo el mundo están observando de cerca, esperando una resolución que mantenga operativa esta herramienta esencial.