Mobile-Menu

Finanzierung gestoppt Das CVE-Programm steht vor dem Aus

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH

Die Finanzierung des Common Vulnerabilities and Exposures (CVE)-Programms durch das US-Heimatschutzministerium lief am 16. April 2025 aus. Bisher ist noch keine Vertragsverlängerung mit der zuständigen Organisation Mitre bekannt. Die Erfassung neuer Sicherheitslücken droht jetzt zu enden.

Ist das das Ende des Common Vulnerabilities and Exposures (CVE)-Programms? Die US-Regierung lies den Finanzierungsvertrag auslaufen. Eine Verlängerung ist nicht in Sicht.(Bild: Midjourney / KI-generiert)
Ist das das Ende des Common Vulnerabilities and Exposures (CVE)-Programms? Die US-Regierung lies den Finanzierungsvertrag auslaufen. Eine Verlängerung ist nicht in Sicht.
(Bild: Midjourney / KI-generiert)

Laut Medienberichten bestätigt Mitre, dass der Vertrag am 16. April ausgelaufen sei. Yosry Barsoum, Vizepräsident von Mitre, erklärte, dass die US-Regierung zwar „erhebliche Anstrengungen unternimmt, um Mitres Rolle im Programm zu unterstützen“, aber eine Lösung bisher nicht in Sicht sei.

Das CVE-Programm hat seit seinem Start vor 25 Jahren eine zentrale Rolle in der Sicherheitsbranche eingenommen. Alleine im vergangenen Jahr wurden knapp 40.000 neue CVE-Einträge veröffentlicht. Ohne fortlaufende Finanzierung würde die Zuweisung neuer CVEs in der aktuellen Form gestoppt werden.

Die Grafik zeigt die Anzahl der jährlich veröffentlichten Common Vulnerabilities and Exposures seit dem Start des CVE-Programms im Jahr 1999. Fahren Sie mit der Maus über die Balken oder tippen Sie diese auf dem Smartphone an, um die exakte Anzahl an CVEs für das jeweilige Jahr zu sehen. Klicken Sie auf die Jahreszahlen in der Legende, um bestimmte Zeiträume gezielt ein- oder auszublenden.

CVE Foundation

Einige ehemalige Vorstandsmitglieder wollen das CVE-System auf eigene Faust am Leben halten. Die sogenannte CVE Foundation will nun, ganz ohne Finanzierung der US-Regierung, die Erfassung von Schwachstellen gewährleisten. In der Pressemitteilung heißt es, die Verantwortlichen würden sich bereits seit einem Jahr darauf vorbereiten, das Programm ohne das Geld der Regierung weiterlaufen zu lassen. Weitere Informationen sollen in den nächsten Tagen folgen.

Chaos und Verwirrung drohen

Das CVE-System besteht seit 1999 und dient als standardisierte Methode zur Identifikation sowie Katalogisierung von Sicherheitslücken in Software wie auch Hardware. Nahezu alle großen Unternehmen nutzen dieses System, um Schwachstellen eindeutig zu kennzeichnen und deren Behebung zu koordinieren. Auch die Redaktion von Security-Insider nutzt bei der Recherche das CVE-Programm.

Jede Sicherheitslücke erhält eine einzigartige Kennung nach dem Muster „CVE-Jahreszahl-XXXXX“. Das hat die Kommunikation zwischen Sicherheitsexperten weltweit vereinfacht. Vor der Einführung des CVE-Systems bezeichnete nämlich jedes Unternehmen Sicherheitslücken mit einer eigenen Methode. Das führte zu erheblicher Verwirrung.

Vorkehrungen werden getroffen

Verwirrung, die jetzt wieder droht, sollte das CVE-System nicht mehr weitergeführt werden. Einige Unternehmen versuchen bereits, Vorkehrungen zu treffen. VulnCheck, ein privates Unternehmen für Schwachstelleninformationen, hat laut Businesswire vorsorglich 1000 CVEs für 2025 reserviert. Diese würden jedoch maximal zwei Monate ausreichen, da Mitre veröffentlicht monatlich zwischen 300 und 600 CVEs.

(ID:50393391)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte