Programme CVE : le contrat de MITRE expire, la CISA le prolonge in extremis pour onze mois

2025-04-15 · Éditeur : MITRE / CISA · Domaine : Cybersécurité

Une lettre de MITRE annonce l'arrêt du financement fédéral du programme CVE, référentiel mondial des vulnérabilités. La CISA prolonge le contrat la veille de son expiration, et des membres du conseil créent la CVE Foundation.

### Contexte Le 15 avril 2025, une lettre de **Yosry Barsoum**, vice-président de **MITRE**, révèle que le gouvernement américain ne renouvellera pas le contrat qui finance la gestion des programmes **CVE** et **CWE**, assurée par MITRE (depuis 25 ans pour le CVE). Le contrat expire le lendemain. Les identifiants CVE servent de référence à tous les scanners, avis de sécurité et bases de vulnérabilités. ### Caractéristiques - Contrat de **57,8 millions de dollars** entre la CISA et MITRE, échéance au **16 avril 2025**, selon The Record ; - Le soir du 15 avril, la CISA active une période d'option de **onze mois**, jusqu'au **16 mars 2026**, pour qu'il n'y ait « aucune interruption des services CVE critiques » ; - Le 16 avril, des membres du conseil CVE annoncent la **CVE Foundation**, association à but non lucratif visant à sortir le programme de la dépendance à un financeur unique ; - La CISA qualifie le programme d'« inestimable pour la communauté cyber ». ### Pourquoi c'est important L'épisode a montré qu'un maillon central de la gestion des vulnérabilités mondiale reposait sur un seul contrat public américain. Une interruption aurait privé outils de sécurité, CERT et éditeurs de leur identifiant commun. ### À retenir Depuis, l'Europe a accéléré sa propre base (EUVD de l'ENISA) et la gouvernance du programme CVE s'est diversifiée. Les équipes de gestion des vulnérabilités ont intérêt à ne pas dépendre d'une source unique.

Tags : CVE, Vulnérabilités, Politique publique