Ogni avviso di sicurezza che leggi, ogni scanner di vulnerabilità e quasi ogni aggiornamento correttivo fa riferimento a un codice come CVE-2025-1974. Quei codici esistono grazie al programma CVE, Common Vulnerabilities and Exposures, gestito da 25 anni dall’organizzazione non profit statunitense MITRE con fondi del governo federale. Il 15 aprile si è scoperto che quei fondi stavano per finire. Il giorno dopo.
Con una lettera ai membri del consiglio del programma, un vicepresidente di MITRE ha avvisato che il 16 aprile sarebbe scaduto il contratto per gestire CVE e il catalogo collegato delle debolezze del software, CWE. In caso di interruzione, scriveva, ci sarebbero state conseguenze sui database nazionali delle vulnerabilità, sui produttori di strumenti di sicurezza, sulla risposta agli incidenti e sulle infrastrutture critiche.
Il settore è andato in allarme. Il 16 aprile un gruppo di membri del consiglio ha annunciato la nascita della CVE Foundation, un ente non profit pensato per rendere il programma indipendente da un unico finanziatore. In serata l’agenzia federale per la cybersicurezza ha esercitato l’opzione prevista dal contratto e lo ha prorogato di 11 mesi, fino a marzo 2026. Perché si sia arrivati a ridosso della scadenza, e cosa succederà fra undici mesi, nessuno l’ha spiegato.
Un’infrastruttura appesa a una voce di bilancio
Senza un identificativo comune, produttori, ricercatori e amministratori parlerebbero della stessa falla con nomi diversi, e gli strumenti che confrontano il software installato con le vulnerabilità note perderebbero il loro riferimento. È una di quelle infrastrutture che nessuno nota finché funzionano. La crisi ha mostrato quanto un sistema usato in tutto il mondo dipendesse da una singola linea di bilancio di un singolo governo. In Europa, intanto, sta partendo un database europeo delle vulnerabilità gestito dall’agenzia ENISA.
Nell’immediato non cambia nulla: gli identificativi continuano a essere assegnati. Ma è un buon momento per guardare i tuoi processi di gestione delle vulnerabilità e chiederti quanto dipendano da una sola fonte di dati. Se lo scanner, il sistema di ticket e i report si basano tutti sullo stesso flusso, una sua interruzione ti lascerebbe al buio.
Gli avvisi diretti dei produttori e dei CERT nazionali restano comunque la fonte primaria per sapere cosa correggere. Seguili, e tieni d’occhio nei prossimi mesi come evolveranno la CVE Foundation e il database europeo.
