共通脆弱性識別子（CVE）プログラム、国土安全保障省から資金供与を打ち切られ終了へ

CVEプログラムの核心は、発見された脆弱性に対して固有の識別番号を割り当て、研究者やベンダー、公的機関が同一の脆弱性について一貫した方法で情報を共有できるようにすることにあります。CVEプログラムの支援のもと、2025年時点でおよそ27万5000件もの脆弱性情報がカタログ化されており、こうして割り当てられた脆弱性情報は、公式サイトやGitHubを通じて一般に公開されています。

しかし、2025年4月15日付けでCVE理事会に送られた内部メモがBlueskyに流出しました。このメモには、「2025年4月16日(水)、MITREがCVEおよびCWEなどの関連プログラムを開発・運用・近代化するための現在の契約が失効します。政府は、MITREの同プログラム支援継続に向けて多大な努力を続けています」と書かれていました。

テクノロジー系ニュースメディアのNextgov/FCWに対し、MITRE・国土安全保障センターのYosry Barsoum所長は、CVEプログラムなど同組織が運営するプログラムへの資金提供が2025年4月16日で終了することを認めました。Barsoum所長によれば、MITREはCVEプログラムの運用資金をアメリカ政府からの資金提供契約によってまかなっており、その契約が4月16日で期限を迎えるとのこと。

この背景には、アメリカのサイバーセキュリティー・インフラセキュリティー庁(CISA)の大規模な予算削減と契約整理があると見られます。報道では、CISA内部で複数の契約が打ち切られたり放置されたりしたままになっているとの情報もあり、CVEを含む脆弱性管理業務がその余波を受けた可能性が高いとNextgov/FCWは報告しています。