セキュリティの欠陥を追跡するためのCVEプログラムは、連邦資金の喪失に直面しています

重大なサイバーセキュリティプログラムの資金危機が迫る

世界のサイバーセキュリティ活動の基盤であるCommon Vulnerabilities and Exposures（CVE）プログラムは、資金が期限切れになる危機に直面しています。このプログラムは、Microsoft、Google、Apple、Intel、AMDなどのテクノロジー大手が利用しており、公開されているサイバーセキュリティの脆弱性を特定し追跡する重要な役割を果たしています。このツールは、エンジニアが悪用の深刻度を評価し、必要なパッチや緩和策を優先順位付けするのに役立ちます。

MITRE、このCVEの背後にある組織は、*The Verge*に対し、プログラムの管理と強化のための契約が4月16日に終了すると明らかにしました。1999年の開始以来、CVEは組織が既知の脆弱性に一意のIDを割り当てることができる重要なデータベースを維持してきました。これらのIDは、「CVE」に年号と番号を組み合わせた形式（例：CVE-2022-27254）で、セキュリティ専門家が日常のデバイスや重要なシステムに影響を与える可能性のある脆弱性を追跡できるようにします。

CVE資金不足の世界的影響

セキュリティとプライバシーの研究者であるLukasz Olejnikは、Xで懸念を表明し、継続的な支援がなければCVEシステムが世界のサイバーセキュリティ活動を「麻痺させる」可能性があると警告しました。彼は、CVEがなければベンダー、アナリスト、防衛システム間の調整が崩れ、混乱が広がり、サイバーセキュリティ対策が大幅に弱体化すると強調しました。

期限が迫る中、MITREの副社長兼Center for Securing the HomelandのディレクターであるYosry Barsoumは楽観的な姿勢を保っています。*The Verge*へのメールでの声明で、Barsoumは政府がMITREのプログラム継続を積極的に取り組んでいると述べ、MITREはCVEをグローバルなリソースとして維持することに尽力していると述べました。彼はまた、資金の変更が、ハードウェアとソフトウェアの弱点をカタログ化することに焦点を当てた関連するCommon Weakness Enumerationプログラムにも影響を与える可能性があると述べました。

漏洩した文書と公式声明

この状況の緊急性は、CVE委員会メンバーへの漏洩した手紙を通じて明らかになり、XおよびBlueskyのソーシャルプラットフォームで共有されました。米国国土安全保障省（DHS）およびサイバーセキュリティ・インフラストラクチャーセキュリティ庁（CISA）から資金を受けているMITREは、プログラムに関する公式ビデオで説明されているように、独立した客観的な第三者としてCVEプログラムを運営し進める任務を負っています。

CVEプログラムの資金提供の潜在的な終了は、サイバーセキュリティインフラの脆弱な性質を強く思い出させるものです。期限が近づく中、技術コミュニティと世界中のセキュリティ専門家は、この不可欠なツールの運用を維持するための解決策を期待して注視しています。