Проблемы с важным механизмом безопасности Android: как проблема может быть решена в долгосрочной перспективе
Система общей уязвимости и воздействия (CVA), важная для выявления и отслеживания компьютерных уязвимостей, была сохранена от возможного перерыва после последнего решения, принятого Агентством по кибербезопасности и инфраструктуре (CISA).
Согласно Reuters, договор, по которому непреодолимая организация MITRE управляла программой CVE, должен был истекать 16 апреля 2025 года, что рискует парализовать значительную часть глобальной инфраструктуры кибербезопасности.
За несколько часов до крайнего срока CISA решила расширить финансирование еще на 11 месяцев, что позволило продолжить основную деятельность, проводимую в рамках программы.
Что на самом деле общая уязвимость и воздействие
Созданная в 1999 году, система CVE атрибует каждому известному уязвимости уникальный идентификатор (формы CVE-YYYY-NNNNN, что облегчает эффективное общение между разработчиками программного обеспечения, компаниями безопасности и правительствами.
Целью данного стандарта является обеспечение общего языка для отчетности по уязвимости и обеспечения интеграции в крупные автоматизированные решения для безопасности.
Важность программы постоянно росла за последние два десятилетия. Такие компании, как Microsoft, Google, Apple, Intel и другие, основаны на системе CVA для классификации и приоритетов обновлений безопасности.
Согласно The Verge, CVE представляет собой позвоночник современных систем управления кибер -рисками, интегрированные в миллионы систем и платформ по всему миру.
Американская администрация является ключом
Тем не менее, зависимость программы от американского государственного финансирования повышает вопросы вопроса от его долгосрочной устойчивости.
Wired, в свою очередь, пишет, что несколько членов Совета по управлению CVE предложили свою трансформацию в независимый фонд без прямой принадлежности к правительству, чтобы обеспечить оперативный нейтралитет и непрерывность.
На основе этой неопределенности сообщество компьютерной безопасности также сообщило о практических рисках возможного прерывания системы. В марте 2025 года критическая уязвимость (CVE-2025-22457), обнаруженная в VPN Ivanti Connect Secure Devices, была использована группа злоумышленников, поддерживаемых китайским государством.
Согласно публикации Techradar, этот инцидент продемонстрировал необходимость быстрой и прозрачной системы для назначения и передачи уязвимостей, таких как CVA.
В краткосрочной перспективе расширение контракта MITER позволяет избежать кризиса, но в долгосрочной перспективе будущее программы CVA будет зависеть от структурной реформы, которая обеспечит ее независимость и стабильность.
И последнее, но не менее важное, согласно The Verge, продолжение деятельности CVA жизненно важно для поддержания уверенности в глобальной цифровой экосистеме и для эффективной защиты от все более сложных компьютерных угроз.
