CVE : Common Vulnerabilities and Exposures
Sécurité
CVE : Common Vulnerabilities and Exposures, programme qui attribue un identifiant unique à chaque vulnérabilité rendue publique. « Le numéro d'immatriculation des failles : il ne dit rien de leur gravité, mais permet enfin de savoir qu'on parle de la même », par analogie avec la plaque minéralogique, qui identifie la voiture sans rien révéler de la conduite de son propriétaire.
Fonctionnement : Lancé en 1999 par MITRE et financé par l'État fédéral américain, aujourd'hui par l'intermédiaire de la CISA, le programme produit des identifiants de la forme CVE-2024-3094 : l'année, puis un numéro d'au moins quatre chiffres. Ils sont attribués par des centaines d'autorités de numérotation, les CNA (CVE Numbering Authorities) : éditeurs, chercheurs, équipes nationales de réponse aux incidents.
Ce que ce n'est pas : Un identifiant CVE n'est pas une note de gravité : le score CVSS (Common Vulnerability Scoring System) vient d'ailleurs, souvent de la NVD (National Vulnerability Database) du NIST. Il ne dit pas davantage si la faille est exploitée ; pour cela, on consulte par exemple le catalogue KEV (Known Exploited Vulnerabilities) de la CISA.
Angles morts : Toutes les vulnérabilités n'ont pas de CVE, notamment dans les services en ligne ou les composants que personne n'a signalés. Inversement, certains défauts sans portée réelle en reçoivent un. Un tableau de bord qui compte les CVE mesure donc l'activité des déclarants au moins autant que le risque.
Ce qui arrive si on s'en passe
Sans suivi des identifiants CVE, une organisation ne peut pas relier les bulletins de sécurité à son propre inventaire et apprend qu'elle était vulnérable en lisant son rapport d'incident. À l'inverse, trier les correctifs au seul score CVSS fait corriger en priorité des failles graves sur le papier mais inexploitables chez soi, pendant qu'une faille moyenne, activement exploitée et exposée sur internet, attend poliment son tour. Croiser CVE, inventaire logiciel et catalogues d'exploitation avérée permet de distinguer l'urgence du bruit.
Explication de la marmotte
Chaque fois qu'une faille de sécurité est découverte dans un logiciel, elle peut recevoir un numéro unique, par exemple CVE-2024-3094. Grâce à ce numéro, éditeurs, experts et administrateurs du monde entier savent qu'ils parlent exactement du même problème. Le numéro ne dit pas si la faille est grave : une note séparée sert à cela. Les équipes informatiques comparent la liste des CVE avec les logiciels qu'elles utilisent pour savoir quoi mettre à jour en premier.
Où ce terme est utilisé
- MITRE ATT&CK et CVE en cybersécurité (19 occurrences)
- Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition (16 occurrences)
- PSIRT et divulgation coordonnée des vulnérabilités produit sous CRA (12 occurrences)
- Comment les attaquants utilisent l'IA : de la CVE au zero-day (6 occurrences)
- Générer un SBOM CycloneDX dans un pipeline CI (5 occurrences)
- Maîtriser le risque des dépendances transitives (npm, pip, Maven, Go) (4 occurrences)
- SBOM pour inventorier les composants réellement exécutés (4 occurrences)
- WannaCry et MS17-010 : fenêtre d'exposition et correctifs (4 occurrences)
- CERT-FR alertes et avis de sécurité (3 occurrences)
- Comment capitaliser et payer la dette de sécurité (3 occurrences)