· 6 min de lecture.
Ce que fait une CNA, concrètement
Quand un chercheur signale une faille dans un produit, il s'adresse à la CNA qui couvre ce produit — en général l'éditeur lui-même. Celle-ci réserve un identifiant, garde les détails confidentiels le temps du correctif, puis publie la fiche le jour de la divulgation.
Le MITRE n'intervient pas dans ce circuit : il habilite les CNA, arbitre les litiges et sert de filet pour les produits que personne ne couvre. Autrement dit, la qualité de ce que vous lisez dans une fiche CVE ne dépend pas du programme : elle dépend de l'organisation qui l'a publiée.
Les CNA que vous croiserez le plus souvent
La liste officielle complète est publiée et tenue à jour par le programme CVE ; nous n'en recopions pas les centaines de lignes ici, elles vieilliraient en un mois. Voici en revanche celles dont les publications remplissent l'essentiel d'un flux de veille francophone :
| CNA | Type | Périmètre |
|---|---|---|
| MITRE | Racine et secrétariat | Tout produit sans CNA attitrée ; arbitrage du programme |
| Microsoft | Éditeur | Windows, Office, Azure et l'écosystème associé |
| Apple | Éditeur | macOS, iOS, Safari et services |
| Google / Chrome | Éditeur | Chrome, Android, services Google |
| Red Hat | Éditeur | RHEL et l'open source empaqueté par Red Hat |
| Cisco | Éditeur | Équipements réseau et logiciels associés |
| Oracle | Éditeur | Base de données, Java, applications d'entreprise |
| GitHub (GHSA) | Éditeur et coordinateur | Dépendances des écosystèmes npm, PyPI, Maven, RubyGems… |
| CERT/CC | Coordinateur | Produits sans éditeur-CNA, divulgation coordonnée |
| CISA / ICS-CERT | Gouvernemental | Systèmes industriels et infrastructures critiques |
| Patchstack, Wordfence | Chercheur | Extensions et thèmes WordPress, en très gros volume |
Quatre familles, quatre comportements
| Type | Ce qu'il publie | Ce que vous en attendez |
|---|---|---|
| Éditeur | Les failles de ses propres produits | Des versions affectées précises, et un correctif le jour même |
| Coordinateur | Les failles de produits tiers, sans éditeur habilité | Une description soignée, parfois sans correctif disponible |
| Chercheur / plateforme | Les failles remontées par sa communauté | Du volume, et une complétude variable d'une fiche à l'autre |
| Gouvernemental | Un périmètre national ou sectoriel | Une couverture de domaines mal servis par le marché |
CNA, Root, ADP : qui fait quoi
- CNA : attribue et publie les identifiants de son périmètre.
- Root : supervise un ensemble de CNA, les recrute et arbitre les litiges. Le MITRE est la racine de dernier recours.
- ADP (Authorized Data Publisher, « éditeur de données autorisé ») : n'attribue pas d'identifiants mais enrichit des fiches existantes. La CISA en est un, via son programme Vulnrichment, qui ajoute score et classification aux fiches qui en manquent.
Cette dernière fonction a pris de l'importance depuis que l'enrichissement assuré par le NVD a ralenti : une part des fiches se complète désormais par ce canal plutôt que par le circuit historique.
Pourquoi la CNA décide de la qualité de vos alertes
Une fiche CVE sans version affectée ni identifiant de produit normalisé ne peut être rapprochée d'aucun inventaire : aucun outil, quel qu'il soit, ne peut deviner si elle vous concerne. Elle finira soit ignorée, soit remontée « au cas où » — c'est-à-dire en bruit.
Or la présence de ces champs dépend entièrement de la CNA qui publie. Certaines publient vite et peu ; d'autres publient lentement et complet. C'est un fait structurel du programme, pas un accident : c'est pourquoi nous mesurons la complétude des sources et pourquoi nous recoupons chaque fiche avec plusieurs flux.
Et concrètement, pour vous
Deux réflexes utiles :
- Regardez qui publie avant de conclure qu'une alerte est floue. Une fiche laconique d'une CNA à gros volume demande souvent d'aller lire l'avis de l'éditeur, qui, lui, est précis.
- Signalez les fiches incomplètes. Les CNA acceptent les demandes de correction, et une fiche enrichie profite à tout le monde — y compris à votre outil de veille le mois suivant.
Questions fréquentes
Combien y a-t-il de CNA ?
Plus de 400 organisations habilitées dans le monde, et le nombre augmente chaque mois. La liste officielle publiée par le programme CVE est la seule à jour ; tout chiffre figé dans un article vieillit en quelques semaines.
Une CNA peut-elle mal renseigner ses CVE ?
Oui, et cela arrive surtout chez celles qui publient en très grand volume. Les champs manquants sont le plus souvent la version affectée et l'identifiant de produit normalisé — précisément les deux qui permettent le rapprochement automatique avec un inventaire.
Comment devient-on CNA ?
En candidatant auprès d'une Root, en s'engageant à respecter les règles du programme (délais, format des fiches, périmètre déclaré) et en désignant un contact de sécurité joignable. Le processus est ouvert aux éditeurs comme aux projets open source.