CVE(共通脆弱性識別子)は、本来MITRE社などの限られた組織が発行してきたが、その仕組みの中には「CNA(CVE Numbering Authority)」として認定された組織が、自分たちの管理するソフトウェアについて直接CVE番号を発行できる制度がある。Django Software Foundation(DSF)は6月25日、自らがこのCNAになった経緯を公式ブログで公開した。

何が変わり、何が変わらないか

CNAになることで、DjangoやDSFが管理する一部の関連プロジェクトについて、外部組織を介さずにCVE IDを割り当てられるようになる。申請、文書化、訓練、演習まで含めたセキュリティ運用の体制を、正式な枠組みに乗せた形だ。一方で利用者から見た操作面での変化は特になく、恩恵は脆弱性情報の公開と調整がスムーズになるという運用面に表れる。

主要OSSプロジェクトの並びに加わる

CNA制度には、Python自体やKubernetes、主要なLinuxディストリビューションなど、規模の大きいOSSプロジェクトの多くがすでに参加している。Djangoがこの列に加わったことは、フレームワークとしての成熟度がコード面だけでなく組織運営の面でも一段上がったことの表れと見てよいだろう。

実務への意味

脆弱性対応の速度は、フレームワークを選ぶ際の地味だが重要な判断材料だ。CVE発行の主導権を自前で持つことで、Djangoの既存リリースサイクルに近いタイミングで助言を出しやすくなる。運用フローの詳細はDjangoの公式ブログ記事(https://www.djangoproject.com/weblog/2026/jun/25/how-the-django-software-foundation-became-a-cna/)に書かれている。