こうした理由から、セキュリティコミュニティは現在『CVEの代替案または補完策』を模索している。欧州（EUVD）、  中国（CNNVD）、民間企業などが、脆弱性に対応するための新たな枠組みを構築しつつある。

1. 欧州（EU）  EUVD

「米国中心のシステムに完全に依存するつもりはない。欧州は欧州の視点で判断する。」

欧州連合のサイバーセキュリティ機関であるENISAは、脆弱性データベース「EUVD（European Vulnerability Database）」を開始した。  ENISAは2025年5月13日、ベータ版として運用されていたEUVDを正式に運用開始すると発表した。
米国CISAの予算削減によってCVEを巡る議論が続く中で下された措置だ。 

ENISAは、既存のCVEシステムだけでは欧州の政策や現実を反映するのが難しいという理由から、独自のシステムを導入した。 

EUVDは、CVEに類似した固有の番号体系（例：EUVD-2025-1234）を備えている。CVE番号も併記できるようにすることで、既存システムとの連動性と互換性を考慮した。 

EUVDは、国間のCSIRTの協力結果や実際に悪用された事例を中心にまとめられており、危険度の優先順位を把握しやすいのが特徴だ。EUVDは、Vulnerability-Lookupのようなオープンソースの分析ツールとも自動的に連携できるよう設計されている。 

2. 中国 CNNVD

「サイバーセキュリティも自国中心に。情報の主権はセキュリティの始まりだ。」

中国政府は、公式の脆弱性データベース「CNNVD（China National Vulnerability Database）」を運営している。 

CNNVDは、中国国家安全部（MSS）傘下の「中国情報安全評価センター（CNITSEC）」が運営している。CNITSECはMSSの第13局であり、中国のサイバー作戦と情報収集を担当する機関だ。 

公式にCNNVDは、情報技術製品およびシステムのセキュリティ脆弱性を分析する。 党や政府機関の情報ネットワーク、重要な情報システムのセキュリティリスクを評価し、セキュリティテストおよび評価を実施する。韓国の国家情報院（NIS）に類似した役割を担っている。 

CNNVDは、米国のCVEを参照しつつも、独自の脆弱性番号と登録体系を持っている。 

中国企業の製品の脆弱性は、CVEよりも先にCNNVDに登録されるケースも多い。検閲や統制に関する議論はあるものの、中国国内のセキュリティ対応においては必須のシステムとして定着している。時にはCVEよりも迅速に脆弱性が登録される事例もあるため、海外の研究者もCNNVDを参考にしている。 

CNNVDは、中国のサイバーセキュリティ戦略および情報収集活動の一環として運営されている。単なる脆弱性データベース以上の役割を果たしているとされている。情報の透明性不足や公開の遅れといった問題により、 国際社会においては信頼性に対する疑問が提起されている状況だ。 

セキュリティ専門家たちは、CNNVDの情報を参考にしつつも、さまざまな脆弱性データベースとのクロス検証を通じて、より正確で信頼できる形で利用している。 

3. 民間企業はビジネスとして

民間企業は、既存のCVE体系の限界を補完しながら、より迅速かつ詳細なセキュリティ情報を提供するビジネスを行っている。民間の脆弱性データベースは、CVEに登録されていない脆弱性や、最新のセキュリティ脅威情報に価値を置いている。 

サイバーセキュリティ企業であるFlashpoint（フラッシュポイント）は、「VulnDB」を運営している。 VulnDBはもともとRisk Based Securityという企業が作成したものだが、現在はFlashpointが運営している。 

企業顧客を対象とした商業用の脆弱性データベースだ。 CVEよりも迅速で、より多くの情報を提供することが特徴である。VulnDBには、CVEに含まれていない非公式の脆弱性情報まで含まれている。攻撃コード（PoC）、実際の被害事例、対応策まで具体的に含まれているのが特徴だ。企業はVulnDBをAPIで接続し、自動セキュリティシステムに連動させることができる。 

Snyk（スニーク）は、オープンソースおよびクラウド環境の脆弱性情報を提供するデータベースを運営している。このデータベースは、npm、Maven、pipなど様々なパッケージマネージャーやクラウドプラットフォームの脆弱性情報を含んでいる。 開発者が使用するライブラリや依存関係に起因するセキュリティ問題を特定し、対応できるようにしている。