SETTEMBRE 2025
È di aprile 2025 il lancio, con pubblicazione on line da maggio, del nuovo database delle vulnerabilita dell'Unione europea (EUVD), pensato per supportare sviluppatori, fornitori e autorita di regolamentazione nell'identificazione e nella risoluzione piu efficiente delle falle di sicurezza.
Èmesso e gestito dalla Agenzia europea per la sicurezza informatica (ENISA), fa parte della visione a lungo termine legata alla Direttiva NIS2 secondo la quale, l'ENISA e stata espressamente incaricata di istituire il database per supportare gli sforzi di sicurezza informatica a livello dell'UE.
In particolare, l’EUVD ha una valenza strategica legata a ridurre la dipendenza dell'Europa dai programmi di vulnerabilita finanziati dagli Stati Uniti e getta anche le basi per un'infrastruttura di sicurezza informatica piu autonoma e solida in tutta l'UE. Per tale motivo l'ENISA prevede di sviluppare ulteriormente l'EUVD e i servizi correlati nel corso del 2025, integrando il feedback delle parti interessate per garantire che la piattaforma si evolva in linea con le esigenze operative e i progressi tecnologici.
Domande lecite legate a questa iniziativa sorgono immediatamente: se esiste l’EUVD ci si deve dimenticare dello standard CVE? la risposta e no affatto. Tuttavia val la pena ricordare i motivi per cui dopo una alpha test, l’ENISA abbia affrettato la pubblicazione dell’EUVD (oggi in versione Beta): il principale problema era legato all'instabilita che circonda il National Vulnerability Database (NVD) degli Stati Uniti e al programma CVE (istanziato dal MITRE.org che in estate aveva iniziato ad avvisare di tagli e impossibilita di mantenimento in quelle condizioni complesse, poi rientrate ma senza garanzie sul futuro).
Per chi non lo conoscesse l’EUVD si presenta con tre distinte viste della dashboard:
- Vulnerabilità critiche: evidenzia le vulnerabilita con gravi implicazioni.
- Vulnerabilità sfruttate: si concentra sulle vulnerabilita attualmente sfruttate.
- Vulnerabilità coordinate dall'UE: evidenzia le vulnerabilita coordinate dai CSIRT europei.
Ogni voce nel database include una descrizione della vulnerabilita , dei prodotti o servizi ICT interessati, dei livelli di gravita , dei metodi di sfruttamento e delle misure di mitigazione o patch disponibili.
Le fonti da cui provengono i dati sono provenienti da fonti aperte ovvero da database open source, integrate con altre informazioni quali avvisi emessi dai CSIRT nazionali europei, linee guida per la mitigazione e l’applicazione di patch pubblicate dai fornitori, insieme alle segnalazioni di vulnerabilita sfruttate. Fra le fonti anche i dati CVE, derivanti dal catalogo delle vulnerabilita note sfruttate della CISA (Cybersecurity and Infrastructure Security Agency) vengono trasferiti automaticamente nell'EUVD.
Fra l’altro ENISA ha avviato diverse collaborazioni/contatti con diverse organizzazioni internazionali e dell’UE, tra cui Mitre CVE Program (MITRE CVE Program) per cui ci si aspetterebbe che la numerazione delle vulnerabilita secondo EUVD fosse corrispondente con le CVE. E invece no! la numerazione fra CVE ed EUVD e diversa perche ad ogni voce di vulnerabilita nell'EUVD viene assegnato un identificatore univoco (ad esempio, EUVD-2025-21128 per CVE-2025-50121). Tuttavia, per non rendere la vita difficile ai poveri specialisti di security l’EUVD riporta SEMPRE il numero CVE con la sua corrispondenza numerica originale. Altri due standard adottati senza cambiamenti sono il Common Vulnerability Scoring System (CVSS-sistema standardizzato che assegna un punteggio numerico da 0,0 a 10,0 per valutare la gravita delle vulnerabilita della sicurezza informatica) e Exploit Prediction Scoring System (EPSS- uno strumento basato sui dati per stimare la probabilita che una vulnerabilita software venga sfruttata in natura).
Per ottimizzare l’uso dell’EUVD e consigliabile seguire 5 passi:
- Accedere alle dashboard le tre viste principali (critica, sfruttata o coordinata dall'UE) per filtrare le vulnerabilita in base alla pertinenza
- Cercare minacce specifiche usando parole chiave, ID CVE o nomi di prodotto per trovare record dettagliati sulle vulnerabilità
- Consultare le linee guida per la mitigazione esaminando le patch dei fornitori, gli avvisi CSIRT e le azioni consigliate
- Monitorare lo stato di sfruttamento, identificando se una vulnerabilita viene sfruttata attivamente negli attacchi
- Integrare con i flussi di lavoro esistenti per dare priorita all'applicazione di patch e alle valutazioni dei rischi
Non sono tutte rose e fiori pero quelle della versione beta dell’EUVD. Patrick Garrity ricercatore di vulnerabilita presso VulnChec, ha segnalato le seguenti “mancanze”:
- Le limitazioni dell'API EUVD e del sito web presentano meno vulnerabilita rispetto a CVE.org/NIST NVD, con oltre 50.000 CVE non emerse tramite il suo endpoint API delle vulnerabilita principali.
- Le vulnerabilita sfruttate elencate in EUVD rispecchiano CISA KEV, ma omettono alcune voci sul loro sito web.
- L'attuale API EUVD presenta limitazioni prestazionali e un supporto limitato per l'uso automatizzato o su grandi volumi, il che potrebbe influire sui flussi di lavoro operativi.
- Metadati importanti, come CWE, CPE e CVSS Source, non sono ancora disponibili, riducendo l'utilita di EUVD per un'analisi approfondita dei rischi.
- L'implementazione di EPSS include modifiche al punteggio che introducono la possibilita di fuorviare i consumatori a valle.
È presto per decretare il valore assoluto dell’EUVD in termini di utilita , dato che esistono altri DB, e che non e al suo stato di sviluppo perfetto, ma per il momento potrebbe essere considerato un ulteriore feed da considerare e il cui valore sara valutato dalla comunita di utilizzatori nel corso del tempo.
Come si vede c’e ancora molto lavoro da fare per essere autonomi e sovrani anche sulle vulnerabilita , tuttavia, almeno il primo passo e stato fatto.
Alessia Valentini
(Newletter AIIC n. 09 (2025))
