VulNow wird CVE-Nummerierungsstelle unter der ENISA-Root-Instanz

Plattform für prädiktive Schwachstellen- und Bedrohungsinformationen erhält CNA-Status unter der ENISA-Root-Instanz

AMSTERDAM, July 01, 2026 (GLOBE NEWSWIRE) -- VulNow B.V., eine Plattform für prädiktive Risikoanalysen in der Software-Lieferkette, gab heute ihre offizielle Ernennung zur CVE™ (Common Vulnerabilities and Exposures) Numbering Authority (CNA) unter der CVE-Root-Instanz der Europäischen Agentur für Cybersicherheit (ENISA) bekannt. Mit der Ernennung wird VulNows Verfahren zur koordinierten Offenlegung von Sicherheitslücken offiziell anerkannt. Gleichzeitig ist das Unternehmen nun berechtigt, CVE-Kennungen (CVE-IDs) direkt für Schwachstellen zu vergeben, die über seine prädiktive Analyseplattform identifiziert werden – sowohl in eigenen Produkten als auch in Open-Source-Projekten Dritter, sofern diese noch nicht in den Zuständigkeitsbereich einer anderen CNA fallen.

Vom reaktiven zum prädiktiven Schwachstellenmanagement

Herkömmliche Programme zum Schwachstellenmanagement stoßen bei der frühzeitigen Erkennung neuer Bedrohungen an ihre Grenzen. VulNow liefert PreCVE-Intelligence zu potenziellen Sicherheitslücken, die herkömmliche Schwachstellenscanner noch nicht erkennen können – noch bevor eine CVE-ID offiziell vergeben wird. Während des koordinierten Offenlegungsprozesses erhalten Unternehmen, die VulNows Intelligence in ihre Plattformen und Tools integriert haben, exklusiven Zugang zu diesen PreCVEs. Nach Abschluss dieses Prozesses veröffentlicht VulNow im Namen von Betreuern von Open-Source-Projekten, die selbst keine CNA sind, den offiziellen CVE-Eintrag und ermöglicht so die öffentliche Offenlegung und Behebung der Schwachstelle.

Dark Matter Vulnerabilities™ sichtbar machen

Durch die Partnerschaft mit dem CVE-Programm kann VulNow eine bislang kaum erfasste Risikokategorie systematisch öffentlich dokumentieren. Die VulNow-Plattform konzentriert sich auf sogenannte Dark Matter Vulnerabilities™ – Sicherheitslücken, die in Code-Repositories von Betreuern stillschweigend oder unbeabsichtigt behoben wurden, ohne dass dafür eine CVE-ID vergeben oder ein Sicherheitshinweis veröffentlicht wurde. Da herkömmliche Schwachstellenscanner für Unternehmen ausschließlich auf veröffentlichten CVE-Datenbanken basieren, bleiben diese nicht dokumentierten Codeänderungen für Sicherheitsteams unsichtbar. Angreifer hingegen können sie durch Reverse Engineering von Open-Source-Software weiterhin identifizieren und ausnutzen.

„Der Erhalt des CNA-Status unter der ENISA-Root-Instanz ist ein struktureller Meilenstein für unser Unternehmen, unsere Kunden und unsere Partner im Bereich Sicherheitslösungen“, so Cassie Crossley, CEO und Mitgründerin von VulNow. „Herkömmliche Schwachstellenscanner erkennen Dark Matter Vulnerabilities™ nicht, da sie sich ausschließlich auf CVE-Feeds nach der Veröffentlichung stützen. Durch die formale Etablierung unseres Offenlegungsprozesses als CNA können wir unseren umfangreichen Bestand an aktiven PreCVE-Informationen schnell in die öffentliche Dokumentation überführen. Dadurch verkürzen wir das Zeitfenster für Angreifer und unterstützen unsere Kunden und Partner dabei, frühzeitig Compliance-Anforderungen zu erfüllen – noch vor Ablauf der Fristen der EU-CRA zur Schwachstellenmeldung sowie der weitergehenden Compliance-Pflichten ab 2027.“

Validierte operative Telemetrie

Der VulNow-Bericht zur Bedrohungslage für das erste Quartal 2026 beschreibt die Leistungsfähigkeit dieser Pipeline im operativen Einsatz. Im ersten Quartal 2026 bestätigte VulNow eine Teilmenge von 58 PreCVE-Erkennungen, die erfolgreich bestehenden, veröffentlichten CVE-Einträgen zugeordnet werden konnten. Die Plattform erzielte dabei eine durchschnittliche Vorwarnzeit von 6,6 Tagen für eine überwachte Teilmenge zentraler Open-Source-Pakete, die gemeinsam rund 13,2 Milliarden monatliche Downloads abdecken.

Der Bericht hebt zudem ein maximales Vorhersagefenster von 154 Tagen und 15 Stunden für eine Schwachstelle (CVE-2026-39865) im Open-Source-Projekt „axios“ hervor und unterstreicht damit die Fähigkeit der Plattform, Risiken bereits Monate vor der Verfügbarkeit klassischer Signaturen zu identifizieren. Der CNA-Status ermöglicht es VulNow, diese frühen Signale in skalierbare, registrierte Sicherheitshinweise zu überführen. Bestätigte PreCVEs sind unter https://vul.now/precve abrufbar.

Betreuer von Open-Source-Projekten sowie Programme zur koordinierten Schwachstellenoffenlegung können die Meldeprozesse und Einreichungsrichtlinien in der VulNow-Richtlinie zur koordinierten Offenlegung einsehen.

Über das CVE-Programm

Die Aufgabe des CVE™-Programms besteht darin, öffentlich bekannt gewordene Cybersicherheitslücken zu identifizieren, zu definieren und zu katalogisieren. Für jede im Katalog erfasste Schwachstelle wird ein eigener CVE-Eintrag erstellt. Die Schwachstellen werden von Organisationen weltweit entdeckt, die mit dem CVE-Programm zusammenarbeiten, und anschließend zugeordnet sowie veröffentlicht. Diese Partner stellen die CVE-Einträge bereit, um einheitliche und konsistente Beschreibungen der Schwachstellen sicherzustellen. IT- und Cybersicherheitsexperten nutzen CVE-Einträge, um zu gewährleisten, dass sie sich auf die gleichen Schwachstellen beziehen. Auf diese Weise können sie ihre Maßnahmen zur Priorisierung und Behebung effizient koordinieren.

Über VulNow B.V.

VulNow B.V. mit Hauptsitz in den Niederlanden bietet prädikative Bedrohungsinformationen für das moderne Risikomanagement in der Software-Lieferkette. Durch den Einsatz fortschrittlicher Machine-Learning-Methoden zur Erkennung bislang nicht offengelegter Schwachstellen, stiller Patches und sogenannter „Dark Matter Vulnerabilities™“ noch vor der Veröffentlichung öffentlicher Sicherheitshinweise liefert VulNow Frühwarn-Telemetriedaten an Sicherheitsverantwortliche in Unternehmen sowie Betreiber kritischer Infrastrukturen.

Medienkontakt:

VulNow B.V.
info@vul.now
https://vul.now