Le programme CVE pour le suivi des défauts de sécurité fait face à la perte de financement fédéral

Crise de financement imminente pour un programme de cybersécurité crucial

Le programme Common Vulnerabilities and Exposures (CVE), pierre angulaire des efforts de cybersécurité dans le monde, fait face à une situation critique alors que son financement doit expirer. Ce programme, utilisé par des géants technologiques tels que Microsoft, Google, Apple, Intel et AMD, joue un rôle clé dans l'identification et le suivi des vulnérabilités de cybersécurité connues du public. C'est un outil qui aide les ingénieurs à évaluer la gravité des exploits et à prioriser les correctifs ou atténuations nécessaires.

MITRE, l'organisation derrière CVE, a révélé à *The Verge* que son contrat pour gérer et améliorer le programme doit se terminer le 16 avril. Depuis sa création en 1999, CVE maintient une base de données essentielle où les organisations peuvent attribuer des identifiants uniques aux vulnérabilités connues. Ces identifiants, formatés comme "CVE" suivi d'une année et d'un numéro (par exemple, CVE-2022-27254), permettent aux professionnels de la sécurité de suivre les vulnérabilités pouvant affecter les appareils quotidiens et les systèmes critiques.

Impact mondial de la pénurie de financement du CVE

Le chercheur en sécurité et confidentialité Lukasz Olejnik s'est exprimé sur X pour partager ses préoccupations, avertissant que sans soutien continu, le système CVE pourrait "paralyser" les efforts mondiaux de cybersécurité. Il a souligné que l'absence de CVE pourrait entraîner une rupture de coordination entre les fournisseurs, les analystes et les systèmes de défense, provoquant une confusion généralisée et un affaiblissement significatif des mesures de cybersécurité.

Malgré l'échéance imminente, Yosry Barsoum, vice-président de MITRE et directeur du Centre pour la sécurisation de la patrie, reste optimiste. Dans une déclaration envoyée par courriel à *The Verge*, Barsoum a indiqué que le gouvernement travaille activement pour maintenir le rôle de MITRE dans le programme, et MITRE s'engage à préserver CVE comme une ressource mondiale. Il a également mentionné que le changement de financement pourrait affecter le programme connexe Common Weakness Enumeration, qui se concentre sur le catalogage des faiblesses des logiciels et du matériel.

Documents divulgués et déclarations officielles

L'urgence de la situation a été mise en lumière par une lettre divulguée aux membres du conseil du CVE, partagée sur les plateformes sociales X et Bluesky. MITRE, qui reçoit son financement du Département de la Sécurité intérieure des États-Unis (DHS) et de l'Agence de cybersécurité et de sécurité des infrastructures (CISA), est chargé d'exploiter et de faire progresser le programme CVE en tant que tiers indépendant et objectif, comme indiqué dans une vidéo officielle sur le programme.

La potentielle discontinuation du financement du programme CVE est un rappel brutal de la nature fragile de l'infrastructure de cybersécurité. À l'approche de l'échéance, la communauté technologique et les professionnels de la sécurité dans le monde observent attentivement, espérant une résolution qui maintiendra cet outil essentiel opérationnel.