Il 16 aprile 2025, per 17 ore, il sistema globale di catalogazione delle vulnerabilit\u00e0 informatiche ha rischiato di fermarsi. Un problema contrattuale tra la CISA e MITRE ha portato il programma CVE (Common Vulnerabilities and Exposures) sull’orlo del collasso. Ventisette giorni dopo, il 13 maggio, l’ENISA ha risposto con una mossa storica: il lancio dell’EUVD, il primo database europeo dedicato alle vulnerabilit\u00e0 software. Il risultato oggi: due sistemi paralleli, oltre 265.000 voci catalogate, ma un gap di oltre 50.000 CVE non ancora coperti dalla versione europea.<\/p>\n\n\n\n
Per i team di sicurezza italiani ed europei, la posta in gioco \u00e8 concreta. Ogni CVE non analizzato in tempo \u00e8 una finestra aperta per attaccanti che gi\u00e0 conoscono la falla. Con l’EUVD che conta oltre 50.000 voci in meno rispetto al NIST NVD americano, la domanda diventa urgente: l’Europa pu\u00f2 davvero gestire in autonomia la propria infrastruttura di gestione delle vulnerabilit\u00e0?<\/p>\n\n\n\n
La mattina del 15 aprile 2025, una lettera interna di Yosry Barsoum, vicepresidente di MITRE, \u00e8 trapelata online. Il testo era diretto: il contratto tra CISA e MITRE per finanziare il programma CVE sarebbe scaduto alla mezzanotte del 16 aprile, senza un rinnovo in vista. Senza fondi, nessun nuovo CVE sarebbe stato assegnato agli utenti non accreditati come CNA (CVE Numbering Authorities).<\/p>\n\n\n\n
La reazione della comunit\u00e0 di sicurezza globale fu immediata. Ricercatori, vendor e CERT di tutto il mondo sollevarono l’allarme: il CVE non \u00e8 un database qualunque. \u00c8 l’infrastruttura fondamentale su cui poggiano strumenti di scansione, sistemi SIEM, piattaforme di vulnerability management e processi di patch management in ogni organizzazione del pianeta. Senza di esso, interi workflow automatizzati si sarebbero fermati.<\/p>\n\n\n\n
Dopo 17 ore di incertezza, la CISA ha annunciato un’estensione del contratto con MITRE di 11 mesi, portando la scadenza a marzo 2026. Matt Hartman, direttore generale ad interim della CISA, ha chiarito pubblicamente il 23 aprile 2025: “Non c’\u00e8 stato alcun problema di finanziamento, ma piuttosto un problema amministrativo contrattuale, risolto prima che si verificasse una scadenza.”<\/em><\/p>\n\n\n\n La crisi era tecnicamente rientrata. Ma la scossa aveva gi\u00e0 prodotto un effetto permanente: lo stesso 16 aprile, un gruppo di membri del CVE Board ha fondato la CVE Foundation<\/strong>, un’organizzazione no-profit indipendente pensata per sottrarre la governance del programma alla dipendenza da un singolo governo. Il costo stimato del programma CVE nell’anno precedente era di circa 40 milioni di dollari, interamente a carico del DHS americano.<\/p>\n\n\n\n Il programma CVE esiste dal 1999. Per 26 anni, il suo finanziamento \u00e8 dipeso quasi interamente dal Dipartimento della Sicurezza Interna degli Stati Uniti (DHS) e dalla CISA, con MITRE come gestore operativo. La CVE Foundation nasce per spezzare questa dipendenza strutturale.<\/p>\n\n\n\n Bruce Allor, membro del CVE Board che ha guidato la transizione, ha dichiarato: “La CVE Foundation potrebbe essere operativa entro dicembre 2025. Decine di aziende private e quattro governi non americani hanno gi\u00e0 confermato il loro supporto.”<\/em> La governance prevede un consiglio multi-stakeholder con rappresentanza da vendor, ricercatori, comunit\u00e0 open source e partner internazionali, strutturato in modo che nessun singolo governo possa esercitare controllo unilaterale.<\/p>\n\n\n\n Il modello di finanziamento proposto \u00e8 distribuito: i contributi arrivano da grandi vendor tecnologici, organizzazioni di sicurezza e governi partner. Questa struttura \u00e8 progettata per proteggere il CVE da pressioni politiche, in un contesto geopolitico dove i dati sulle vulnerabilit\u00e0 sono considerati informazioni di rilevanza strategica.<\/p>\n\n\n\n Il team di Checkmarx Security ha sintetizzato il significato dell’episodio con una valutazione netta: “Gli eventi dell’aprile 2025 dimostrano che la comunit\u00e0 non pu\u00f2 permettersi di trattare sistemi fondamentali come il CVE come qualcosa di secondario. Sono infrastrutture strategiche.”<\/em> Questa lettura rispecchia la visione di chi opera nella gestione delle vulnerabilit\u00e0 a livello enterprise: un’interruzione del CVE, anche di sole 48 ore, avrebbe bloccato workflow automatizzati in migliaia di organizzazioni in tutto il mondo.<\/p>\n\n\n\n Il 13 maggio 2025, meno di un mese dopo la crisi del CVE americano, l’Agenzia dell’Unione Europea per la Cybersecurity (ENISA) ha lanciato l’EU Vulnerability Database (EUVD)<\/strong>. Il messaggio implicito era chiaro: l’Europa non pu\u00f2 dipendere esclusivamente da infrastrutture americane per la propria sicurezza digitale. La mossa si inserisce in una strategia pi\u00f9 ampia di autonomia digitale europea, parallela al Cyber Resilience Act e alla direttiva NIS2.<\/p>\n\n\n\n L’EUVD si presenta come un database downstream rispetto al CVE globale: raccoglie gli stessi identificatori di vulnerabilit\u00e0, li arricchisce con contesto europeo specifico (classificazioni CWE, punteggi CVSS aggiuntivi, riferimenti alle direttive NIS2 e CRA) e li rende disponibili in un formato machine-readable ottimizzato per l’ecosistema regolatorio dell’Unione Europea.<\/p>\n\n\n\n Al lancio, il database contava gi\u00e0 264.920 voci, risultato dell’integrazione automatizzata con i dati del CVE e del NIST NVD accumulati negli anni precedenti. Nel novembre 2025, un passaggio ulteriore ha rafforzato il ruolo dell’agenzia: l’ENISA \u00e8 stata elevata a CVE Program Root<\/strong>, il livello di autorit\u00e0 pi\u00f9 alto nel sistema CVE, che le conferisce la supervisione sui CNA europei. Questa promozione trasforma l’ENISA da semplice fruitore del sistema a co-protagonista della sua governance globale.<\/p>\n\n\n\n Nonostante la rapida crescita, l’EUVD presenta gap significativi rispetto al NVD americano. Patrick Garrity di VulnCheck, che ha condotto un’analisi indipendente approfondita, \u00e8 stato diretto nella sua valutazione: “L’API e il sito dell’EUVD mostrano meno vulnerabilit\u00e0 rispetto a CVE.org e al NIST NVD, con oltre 50.000 CVE non disponibili tramite l’endpoint API principale delle vulnerabilit\u00e0, anche se molti sono presenti nel sito e la maggior parte sembra accessibile tramite ricerca e query diretta.”<\/em><\/p>\n\n\n\nLa CVE Foundation: Governance Multi-Stakeholder dopo 26 Anni<\/h2>\n\n\n\n
ENISA Risponde: L’EUVD Lanciato il 13 Maggio 2025<\/h2>\n\n\n\n
EUVD vs NIST NVD: Il Confronto Tecnico nei Numeri<\/h2>\n\n\n\n