Qu'est-ce qu'une CVE ?

La définition, en clair

Quand un chercheur ou un éditeur découvre une faille dans un logiciel, on lui attribue un identifiant du type CVE-2021-44228. Ce numéro devient la référence commune utilisée par les éditeurs, les chercheurs, les scanners de sécurité, les bulletins d'alerte et les bases de données pour parler de la même vulnérabilité — quelle que soit la langue ou l'outil.

Le programme CVE est un dictionnaire mondial des vulnérabilités, pas un classement de leur dangerosité. Lancé en 1999 et piloté par le MITRE, il recense aujourd'hui plus de 250 000 entrées. Sans lui, deux outils pourraient nommer différemment la même faille : la CVE supprime cette ambiguïté.

Retenez l'essentiel : une CVE répond à la question « de quelle vulnérabilité parle-t-on ? » — pas « est-elle grave ? » ni « suis-je attaqué ? ».

Anatomie d'un identifiant : CVE-AAAA-NNNN

Un identifiant CVE suit toujours la même structure :

Deux subtilités souvent mal comprises :

• L'année est celle de la réservation de l'identifiant, pas forcément de la publication : une CVE réservée fin 2025 mais divulguée en 2026 conserve son millésime 2025.
• Le numéro séquentiel comporte au moins quatre chiffres, mais peut s'allonger : on est passé de CVE-2014-0160 à des numéros à six chiffres comme CVE-2024-123456 pour absorber le volume.

Qui crée les CVE ? Le rôle des CNA

Les identifiants ne sont pas attribués par une autorité centrale unique, mais par un réseau d'organisations habilitées : les CNA (CVE Numbering Authorities). On en compte plus de 400 dans le monde.

• Les grands éditeurs (Microsoft, Apple, Google, Red Hat, Cisco…) sont leur propre CNA et publient les CVE de leurs produits.
• Des coordinateurs (CERT/CC, CERT nationaux) couvrent les produits sans éditeur-CNA, notamment l'open source.
• Le MITRE joue le rôle de CNA racine et de secrétariat du programme ; la CISA (agence américaine de cybersécurité) le finance.

C'est ce modèle décentralisé qui permet une couverture large et rapide : l'éditeur le mieux placé documente sa propre faille.

Que contient une fiche CVE ?

Au minimum, une CVE publiée fournit :

• une description de la vulnérabilité ;
• les produits et versions affectés, idéalement via un identifiant normalisé (CPE) ;
• la faiblesse sous-jacente, classée selon le référentiel CWE ;
• un score de gravité CVSS (pas toujours présent dès la publication) ;
• des références : avis de sécurité, correctifs, preuves de concept.

La complétude de ces champs varie selon la CNA. Depuis 2024, l'enrichissement par le NVD (scores et CPE) a fortement ralenti, laissant de nombreuses CVE incomplètes : c'est pourquoi recouper plusieurs sources est devenu indispensable (voir nos sources de données et les bulletins de qualité des CNA).

Le cycle de vie d'une CVE

Une CVE n'est pas figée : son état évolue dans le temps.

Au-delà de ces états, deux transitions changent tout pour la priorisation : la CVE peut être marquée activement exploitée (inscription au catalogue CISA KEV) ou recevoir une preuve de concept (PoC) publique, signe qu'une attaque devient accessible.

CVE, CVSS, EPSS, KEV : ne pas confondre

C'est la confusion la plus fréquente. Une CVE identifie ; les autres référentiels qualifient la même faille sous des angles différents.

Une CVE critique (CVSS 9+) mais sans exploitation connue est souvent moins urgente qu'une CVE moyenne déjà au catalogue KEV. Bien prioriser, c'est croiser ces quatre signaux.

Une CVE existe : suis-je vulnérable ?

Pas automatiquement. Vous êtes réellement concerné seulement si :

• vous utilisez le produit visé ;
• dans une version affectée (une version corrigée vous met hors de portée) ;
• parfois, dans une configuration précise (module activé, option exposée).

Une CVE critique sur un logiciel que vous n'exécutez pas ne change rien pour vous. Tout l'enjeu d'une veille efficace est donc de faire correspondre le flux mondial de CVE à votre inventaire réel.

Trois CVE qui ont marqué l'histoire

Heartbleed — CVE-2014-0160

Une faille d'OpenSSL permettant de lire la mémoire des serveurs (clés privées, mots de passe). Emblématique parce qu'elle touchait une brique de chiffrement omniprésente sur le web.

Log4Shell — CVE-2021-44228

Une exécution de code à distance dans la bibliothèque de journalisation Java Log4j, notée CVSS 10/10. Présente dans d'innombrables applications, elle a déclenché une vague mondiale d'exploitation en quelques heures.

Backdoor XZ Utils — CVE-2024-3094

Une porte dérobée glissée dans un outil de compression Linux via une attaque de la chaîne d'approvisionnement — détectée de justesse avant un déploiement massif. Un rappel que la menace vient aussi des dépendances.

Pourquoi le volume de CVE explose

On publie aujourd'hui plusieurs dizaines de milliers de CVE par an (record battu en 2024), et la courbe monte sans discontinuer : plus de logiciels, plus de chercheurs, plus de CNA habilitées. Conséquence directe : suivre le flux global à la main n'a plus aucun sens. La seule approche tenable est de filtrer sur son périmètre et de prioriser par le risque réel.

Comment suivre les CVE qui vous concernent vraiment

Plutôt que de subir le flux mondial, une veille efficace consiste à : déclarer votre stack (éditeurs, produits, versions), faire correspondre les CVE par CPE, puis prioriser avec le KEV, l'EPSS et le CVSS — et n'être alerté que sur ce qui vous touche. C'est exactement le rôle de TechWatchAlert : transformer un flux ingérable en quelques alertes pertinentes, enrichies et hiérarchisées.

Questions fréquentes