Globale Cybersicherheit in Gefahr
Finanzierung des CVE-Programms läuft aus
Das System zur Identifizierung von IT-Schwachstellen, das Common Vulnerabilities and Exposures (CVE)-Programm, steht mangels Finanzierung vor einer ungewissen Zukunft.
Wie The Verge berichtet, läuft die Finanzierung des CVE-Programms (Common Vulnerabilities and Exposures) durch die US-Regierung am heutigen Tag aus. Die gemeinnützige Organisation MITRE, die das Programm seit seiner Einführung im Jahr 1999 betreibt, bestätigte, dass ihr Vertrag zur Entwicklung, ...
Wie The Verge berichtet, läuft die Finanzierung des CVE-Programms (Common Vulnerabilities and Exposures) durch die US-Regierung am heutigen Tag aus. Die gemeinnützige Organisation MITRE, die das Programm seit seiner Einführung im Jahr 1999 betreibt, bestätigte, dass ihr Vertrag zur Entwicklung, zum Betrieb und zur Modernisierung des CVE-Programms am 16. April 2025 endet.
Was ist das CVE-Programm?
Das CVE-System weist öffentlich bekannt gewordenen Sicherheitslücken eindeutige Identifikationsnummern zu, wie beispielsweise CVE-2022-27254. Diese IDs ermöglichen es Unternehmen wie Microsoft, Google, Apple, Intel und AMD, Sicherheitslücken effizient zu verfolgen und zu beheben. Ohne diese standardisierte Benennung könnten Sicherheitsforscher, Softwareanbieter und Verteidigungssysteme Schwierigkeiten haben, dieselbe Schwachstelle konsistent zu identifizieren und zu adressieren.
Mögliche Auswirkungen auf die Cybersicherheitslandschaft
Sicherheitsexperte Lukasz Olejnik warnte, dass das Fehlen von CVE-Unterstützung die globalen Cybersicherheitssysteme "lahmlegen" könnte. Er prognostiziert einen "Zusammenbruch der Koordination zwischen Anbietern, Analysten und Verteidigungssystemen", was zu "totalem Chaos" und einer plötzlichen Schwächung der Cybersicherheit führen würde.
Neben dem CVE-Programm ist auch das Common Weakness Enumeration (CWE)-Projekt betroffen, das bekannte Schwächen in Hard- und Software katalogisiert. Beide Programme sind integrale Bestandteile der globalen Sicherheitsinfrastruktur.
Hoffnung auf Fortsetzung
MITRE betonte in einer Stellungnahme gegenüber The Verge, dass die US-Regierung weiterhin erhebliche Anstrengungen unternehme, um die Rolle von MITRE im Programm zu unterstützen, und dass MITRE sich weiterhin dem CVE-Programm als globale Ressource verpflichtet fühlt .
Die Situation wurde durch ein durchgesickertes Schreiben an CVE-Vorstandsmitglieder bekannt, das auf Plattformen wie X und Bluesky veröffentlicht wurde.
Für Unternehmen, die auf CVE-Daten angewiesen sind, ist es ratsam, alternative Strategien zur Schwachstellenverfolgung in Betracht zu ziehen und die Entwicklungen rund um die Finanzierung des Programms aufmerksam zu verfolgen.
