Common Vulnerabilities and Exposures (CVE) to międzynarodowy system katalogowania i identyfikacji podatności oraz zagrożeń w oprogramowaniu i sprzęcie. Zarządzany przez MITRE Corporation przy wsparciu finansowym Departamentu Bezpieczeństwa Krajowego USA (DHS), CVE nadaje każdej zgłoszonej luce unikalny identyfikator (np. CVE-2025-12345), co umożliwia jej jednoznaczną identyfikację w globalnych bazach danych. Rekordy CVE zawierają krótki opis podatności, jej potencjalny wpływ oraz, jeśli dostępne, odniesienia do poprawek lub środków zaradczych. System jest szeroko wykorzystywany przez firmy technologiczne, organizacje rządowe i badaczy, wspierając standaryzację wymiany informacji o zagrożeniach i ułatwiając zarządzanie bezpieczeństwem.
Administracja Donalda Trumpa z dniem 16 kwietnia nie przedłuży finansowania dla (CVE). Google w znacznym stopniu opiera się na identyfikatorach CVE w swoich comiesięcznych biuletynach bezpieczeństwa Androida, które informują o naprawionych błędach i problemach z zabezpieczeniami. Brak ciągłości programu CVE może prowadzić do opóźnień, zamieszania i zmniejszonej przejrzystości w procesie dostarczania aktualizacji bezpieczeństwa dla urządzeń z systemem Android. Na obecnym etapie nie jest jasne, kto przejmie odpowiedzialność za utrzymanie lub zastąpienie systemu CVE. Rozważane są różne scenariusze, w tym przejęcie przez inne podmioty, stworzenie własnych systemów przez firmy (np. Google) lub powrót do finansowania przez rząd USA.
Czytaj też: Zaskakująca decyzja Google – wymagania systemu Android w górę
Jeśli Google lub inni producenci będą zmuszeni opracować własne bazy danych lub zwiększyć wewnętrzne inwestycje w bezpieczeństwo, może to podnieść koszty operacyjne, co potencjalnie wpłynie na ceny urządzeń lub tempo innowacji. Alternatywnie, współpraca między firmami technologicznymi w celu stworzenia nowego, wspólnego systemu może być czasochłonna i kosztowna. Nie ulega wątpliwości, że brak centralnego, ustandaryzowanego systemu identyfikacji i śledzenia luk może znacząco utrudnić Google i innym producentom Androida efektywne zarządzanie i reagowanie na zagrożenia. Potencjalne konsekwencje obejmują opóźnienia w dostarczaniu kluczowych aktualizacji, zmniejszoną przejrzystość w informowaniu o problemach z zabezpieczeniami oraz ryzyko fragmentacji w podejściu do śledzenia podatności.