CVE Programは、CISAが「脆弱性識別のグローバルスタンダード」と位置づける枠組みで、The Recordによれば、CISAがMITREとの契約を2026年3月16日まで11か月延長しました。CVE Foundationは、MITREが2025年4月15日付書簡で「米国政府が管理契約を更新する意向がない」とCVE理事会に通知したことを受け、プログラムの長期的な存続・安定性・独立性を確保するために設立されたと2025年4月16日付で発表した別の非営利組織です。その後、CSO Onlineの2026年3月9日付記事は、CISAとMITREが契約を再交渉し、資金の崖はないと報じています。本ドラフトの出典では、CVE Foundationが運営を引き継いだとの記述や、同財団の現在の役割は確認できていません。
CVE ProgramとCVE Foundationの関係と、運営契約をめぐる経緯
CVE ProgramはCISAが関与する公共的な枠組み、CVE Foundationは独立性確保を目的に設立された別組織という違いがあります。