O programa CVE para rastrear falhas de segurança enfrenta perda de financiamento federal

Crise de Financiamento Ameaça Programa Crítico de Cibersegurança

O programa Common Vulnerabilities and Exposures (CVE), um pilar para os esforços de cibersegurança em todo o mundo, enfrenta uma situação crítica, pois seu financiamento está prestes a expirar. Este programa, utilizado por gigantes da tecnologia como Microsoft, Google, Apple, Intel e AMD, desempenha um papel fundamental na identificação e rastreamento de vulnerabilidades de cibersegurança conhecidas publicamente. É uma ferramenta que ajuda engenheiros a avaliar a gravidade de exploits e priorizar os patches ou mitigações necessários.

A MITRE, organização por trás do CVE, revelou ao *The Verge* que seu contrato para gerenciar e aprimorar o programa terminará em 16 de abril. Desde sua criação em 1999, o CVE mantém um banco de dados vital onde organizações podem atribuir IDs únicos a vulnerabilidades conhecidas. Esses IDs, formatados como "CVE" seguido por um ano e um número (por exemplo, CVE-2022-27254), permitem que profissionais de segurança monitorem vulnerabilidades que podem afetar dispositivos do dia a dia e sistemas críticos.

Impacto Global da Falta de Financiamento do CVE

O pesquisador de segurança e privacidade Lukasz Olejnik usou o X para expressar suas preocupações, alertando que, sem suporte contínuo, o sistema CVE poderia "prejudicar" os esforços globais de cibersegurança. Ele enfatizou que a ausência do CVE poderia levar a uma falha na coordenação entre fornecedores, analistas e sistemas de defesa, resultando em confusão generalizada e um enfraquecimento significativo das medidas de cibersegurança.

Apesar do prazo iminente, Yosry Barsoum, vice-presidente e diretor do Centro para Proteger a Pátria da MITRE, permanece otimista. Em uma declaração por e-mail ao *The Verge*, Barsoum observou que o governo está trabalhando ativamente para manter o papel da MITRE no programa, e a MITRE está comprometida em manter o CVE como um recurso global. Ele também mencionou que a mudança de financiamento poderia impactar o programa relacionado Common Weakness Enumeration, que se concentra em catalogar fraquezas de hardware e software.

Documentos Vazados e Declarações Oficiais

A urgência da situação veio à tona por meio de uma carta vazada aos membros do conselho do CVE, que foi compartilhada nas plataformas sociais X e Bluesky. A MITRE, que recebe seu financiamento do Departamento de Segurança Interna dos EUA (DHS) e da Agência de Segurança Cibernética e de Infraestrutura (CISA), é encarregada de operar e avançar o Programa CVE como uma terceira parte independente e objetiva, conforme descrito em um vídeo oficial sobre o programa.

A possível descontinuação do financiamento para o programa CVE é um lembrete claro da natureza frágil da infraestrutura de cibersegurança. À medida que o prazo se aproxima, a comunidade tecnológica e os profissionais de segurança em todo o mundo estão observando de perto, esperando por uma resolução que mantenha esta ferramenta essencial operacional.