CVE et CVSS
CVE identifie chaque faille publique par un numéro unique ; CVSS note sa gravité de 0 à 10 pour prioriser les correctifs.
Définition complète
Une CVE (Common Vulnerabilities and Exposures) est un identifiant unique attribué à une vulnérabilité rendue publique, sous la forme CVE-année-numéro (par exemple CVE-2024-12345). Le programme CVE est parrainé par l'agence américaine CISA et opéré par MITRE ; les identifiants sont attribués par des CNA (CVE Numbering Authorities), des éditeurs, chercheurs ou organismes habilités dans le monde entier. Grâce à ce numéro commun, un bulletin d'éditeur, un scanner et une alerte gouvernementale parlent de la même faille.
Le CVSS (Common Vulnerability Scoring System), maintenu par le FIRST, attribue à une vulnérabilité un score de 0 à 10. Sa version 4.0, publiée en novembre 2023, distingue des métriques de base, de menace, d'environnement et complémentaires. L'échelle qualitative est : aucune (0), faible (0,1 à 3,9), moyenne (4,0 à 6,9), élevée (7,0 à 8,9), critique (9,0 à 10).
Le score de base décrit la gravité technique, pas le risque pour votre entreprise. Une faille notée 7 sur un équipement exposé à internet et déjà exploitée par des attaquants est plus urgente qu'une faille notée 9 sur un poste isolé. Des catalogues publics de vulnérabilités exploitées, comme celui de la CISA, et la base européenne de vulnérabilités de l'ENISA aident à cette priorisation.
Exemple concret
Le prestataire informatique d'un hôtel-restaurant de 30 salariés reçoit un rapport de scan listant 140 CVE. Plutôt que de suivre l'ordre des scores, il croise la liste avec le catalogue des vulnérabilités activement exploitées : trois failles y figurent, dont une sur le pare-feu exposé à internet, notée 8,1. Il la corrige le jour même et planifie les autres selon leur exposition.
Comment se protéger
- S'abonner aux bulletins de sécurité des éditeurs de vos logiciels et équipements critiques, ainsi qu'aux alertes du CERT-FR
- Prioriser les correctifs selon l'exposition à internet et l'exploitation connue, pas seulement le score CVSS
- Fixer des délais de correction par niveau de gravité et les suivre
- Tenir un inventaire des versions installées pour savoir rapidement si une CVE vous concerne
- Appliquer une mesure de contournement quand aucun correctif n'est encore disponible
- Vérifier après correction que la vulnérabilité n'est plus détectée
Questions fréquentes
Non. Seules les vulnérabilités publiées et enregistrées dans le programme reçoivent un identifiant. Une faille propre à votre configuration ou à un développement sur mesure n'en a généralement pas.
Pas nécessairement. Le score mesure la gravité technique de la faille dans l'absolu. Le danger réel dépend de votre exposition, de la présence du logiciel concerné et de l'exploitation effective par des attaquants.
Sur le site du programme CVE (cve.org), dans la base américaine NVD du NIST, dans la base européenne de vulnérabilités de l'ENISA, et dans les avis du CERT-FR pour les failles importantes.
Termes liés
Pare-feu
Dispositif filtrant le trafic réseau entrant et sortant.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Scanner de vulnérabilités
Outil qui analyse automatiquement serveurs, postes et sites web pour repérer les failles connues et les mauvaises configurations.
RGPD
Règlement européen sur la protection des données personnelles.
Vous avez besoin d'un expert en CVE et CVSS ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.