CISA ma plan naprawy CVE. Czy to wystarczy?

CISA próbuje uporządkować program CVE

Amerykańska Cybersecurity and Infrastructure Security Agency (CISA) przedstawiła plan poprawy działania programu CVE (Common Vulnerabilities and Exposures), czyli jednego z najważniejszych katalogów podatności w ekosystemie bezpieczeństwa IT. Dokument ma być początkiem tzw. „Quality Era” – etapu, w którym większy nacisk ma zostać położony nie tylko na liczbę zgłoszeń, ale przede wszystkim na ich jakość.

To ważny ruch, bo program CVE od lat stanowi punkt odniesienia dla producentów oprogramowania, zespołów bezpieczeństwa i administratorów. Problem w tym, że liczba nowych wpisów rośnie bardzo szybko, a wraz z nią pojawiają się kłopoty z jakością danych i sprawnością całego procesu.

Skala rośnie, a razem z nią chaos

Według opublikowanych informacji w 2026 roku pojawiło się już ponad 67 tys. nowych CVE, a liczba zgłoszeń trafiających do National Vulnerability Database między 2020 a 2025 rokiem wzrosła o 263%. CISA wskazuje też na wpływ sztucznej inteligencji, która dodatkowo przyspiesza wykrywanie i raportowanie podatności.

Szybkość sama w sobie nie jest problemem. Kłopot zaczyna się wtedy, gdy wpisy są niepełne, niespójne albo trudno je automatycznie przetworzyć. W praktyce oznacza to więcej pracy dla zespołów bezpieczeństwa, producentów narzędzi i firm, które muszą ustalić, czy dana podatność rzeczywiście ich dotyczy.

Co chce poprawić CISA

Nowy plan CISA koncentruje się na czterech obszarach:

• przejrzystym i skutecznym zarządzaniu programem,
• szerszym udziale społeczności globalnego ekosystemu software’u,
• infrastrukturze danych wspierającej działanie programu CVE,
• wiarygodnej i spójnej treści rekordów CVE.

Chris Butera, pełniący obowiązki szefa cyberbezpieczeństwa w CISA, podkreślił, że agencja chce utrzymać i rozwijać program przez kolejne lata, a dokument ma pomóc w uporządkowaniu zasad uczestnictwa i nadzoru.

Eksperci: kierunek dobry, ale diabeł tkwi w szczegółach

Część specjalistów ocenia kierunek działań pozytywnie, ale nie ukrywa sceptycyzmu. Zwracają uwagę, że od lat największym problemem są niekompletne i niespójne rekordy CVE, które utrudniają pracę całemu łańcuchowi bezpieczeństwa.

Wśród zastrzeżeń pojawia się m.in. kwestia tego, że wiele nowych wpisów nadal nie zawiera maszynowo czytelnego identyfikatora oprogramowania. To utrudnia automatyzację i precyzyjne mapowanie podatności do konkretnych produktów.

Pojawia się też postulat większej transparentności. Same założenia programu nie wystarczą, jeśli nie będzie jasnych metryk i publicznie widocznych efektów, które pokażą, czy jakość rzeczywiście się poprawia.

Dlaczego to ważne dla całego rynku

CVE to nie tylko baza numerów podatności. To fundament, na którym opierają się skanery bezpieczeństwa, systemy zarządzania podatnościami, narzędzia do reagowania na incydenty i procesy aktualizacji oprogramowania. Jeśli dane w tym systemie są słabej jakości, konsekwencje odczuwają wszyscy.

Dlatego obecna inicjatywa CISA ma znaczenie szersze niż sam program. Chodzi o to, czy globalny ekosystem cyberbezpieczeństwa będzie w stanie nadążyć za rosnącą liczbą odkrywanych luk, nie tracąc przy tym precyzji i wiarygodności.

Na razie więcej planu niż przełomu

Nowy dokument CISA można traktować jako ważny sygnał ostrzegawczy i próbę uporządkowania sytuacji, ale nie jako gotowe rozwiązanie. Agencja pokazuje kierunek, natomiast prawdziwy test dopiero przed nią: czy uda się przełożyć deklaracje na lepsze rekordy, lepszy nadzór i realnie użyteczne dane.

W świecie, w którym liczba podatności rośnie szybciej niż możliwości ich ręcznego porządkowania, to właśnie jakość może zdecydować o skuteczności całego systemu.