Déclaration de Snyk sur la mise à jour du financement du programme CVE de MITRE

Ces derniers jours, la communauté de la cybersécurité a suivi de près les incertitudes entourant l’avenir du programme CVE (Common Vulnerabilities and Exposures), géré par MITRE, après une lettre adressée à son conseil d’administration indiquant que son financement fédéral pourrait prendre fin de façon abrupte. Au moment de la publication de cet article, des médias comme Reuters rapportent qu’une prolongation de dernière minute a été accordée, apportant un répit temporaire. Tout cela montre à quel point le système CVE est devenu essentiel à la cybersécurité moderne. Cette situation met en évidence un besoin crucial de résilience et de redondance dans l’écosystème de divulgation des vulnérabilités.

Chez Snyk, nous avons consacré beaucoup de temps à anticiper ce type de scénario. Depuis nos débuts, nous gérons et enrichissons notre propre base de données de vulnérabilités qualifiées, conçue non seulement pour réduire les faux positifs, mais aussi pour recenser les menaces émergentes qui ne recevront peut-être jamais de désignation CVE officielle. Au cours des deux dernières années, nous avons constaté un ralentissement de l’attribution des CVE par MITRE, ce qui n’a fait que renforcer l’importance de disposer de capacités internes permettant d’identifier, de valider et de suivre les vulnérabilités de façon indépendante.

Nous tenons à rassurer nos clients et nos partenaires : cette situation n’a aucune incidence immédiate sur les services de Snyk ni sur nos données de vulnérabilités. En tant qu’autorité de numérotation CVE (CNA), nous pouvons également attribuer des CVE nous-mêmes, et nous restons pleinement engagés en faveur d’un processus transparent et ouvert de divulgation des vulnérabilités.

Si le financement fédéral du programme CVE de MITRE venait à être supprimé, nous sommes prêts à collaborer avec nos pairs du secteur, des organisations à but non lucratif et des représentants des pouvoirs publics afin d’assurer un soutien continu à la communauté mondiale de la cybersécurité. Snyk a déjà proposé de participer à toute initiative collective visant à maintenir ou à transférer les infrastructures essentielles liées aux vulnérabilités, si cela s’avérait nécessaire.

En définitive, cette situation nous rappelle pourquoi la résilience, la surveillance proactive et l’investissement dans des données de sécurité ouvertes sont si essentiels. Nous restons déterminés à fournir aux développeurs et aux équipes de sécurité du monde entier les informations les plus complètes et les plus exploitables sur les vulnérabilités, quelle que soit l’évolution du paysage global de la sécurité.