Qu’est-ce qu’une vulnérabilité CVE ? C’est le numéro public d’une faille logicielle, le même dans tous les pays. Voici la signification CVE, comment lire un identifiant CVE, et ce qu’un score CVSS ne décide pas.
Un titre à Nairobi, un courriel de fournisseur à Winnipeg, une alerte à Francfort : quand ils parlent de la même faille, ils utilisent en général la même chaîne de caractères. Cette chaîne est une vulnérabilité CVE. Ce n’est pas un verdict qui dirait que vous avez été piraté. C’est un numéro public, pour que des gens sur tous les continents parlent d’une seule faille sans lui inventer un nom différent dans chaque langue.
Ce guide s’adresse à la personne qui possède le site, le système de la clinique, la caisse du commerce ou les ordinateurs portables, et qui vient de voir un numéro CVE qu’elle ne reconnaît pas. Vous n’avez pas à devenir chercheur. Vous avez à savoir ce que le numéro dit, ce qu’il ne dit pas, et la question qui décide si c’est votre problème.
En une minute
- Qu’est-ce qu’un CVE ? C’est un identifiant public pour une faiblesse logicielle connue, une vulnérabilité CVE. Les lettres veulent dire Common Vulnerabilities and Exposures.
- Le numéro existe pour que les éditeurs, les gouvernements et les salles de nouvelles parlent de la même faille.
- L’identifiant ne dit pas que votre copie est touchée, que quelqu’un s’en sert contre vous, ni qu’un correctif existe ce soir.
- La page utile ensuite est la note de l’éditeur : le produit, la version, et la version qui contient le correctif.
- Certaines mauvaises semaines ne sont pas des CVE. Un mot de passe volé, ou une application de sauvegarde trop permissive, n’a pas besoin d’un numéro CVE pour être grave.
La signification CVE est Common Vulnerabilities and Exposures. Le programme existe pour qu’une faille découverte une fois reçoive un seul identifiant, au lieu d’un surnom différent dans chaque article et chaque pays. La fiche est publiée par le programme CVE, coordonné par MITRE, avec des autorités de numérotation qui comprennent des éditeurs de logiciels et des équipes nationales d’intervention. Une entreprise au Japon, un hébergeur au Brésil et une commission scolaire au Canada peuvent citer le même identifiant et parler de la même faille.
Une fiche publiée est courte exprès. Elle nomme le problème et pointe vers des références. Les instructions de réparation restent chez ceux qui livrent le logiciel. La NVD, la National Vulnerability Database, tenue par le NIST aux États-Unis, ajoute souvent un score de gravité et une liste de produits touchés. Ces ajouts reposent sur l’identifiant. Ils ne sont pas l’identifiant.
Un CVE ressemble à CVE-2026-109618. Trois parties :
Les surnoms voyagent plus vite que les numéros. PHP2Shell, Node2Shell et WPSplinter sont des titres. Le CVE est la partie que vous pouvez chercher sans tomber sur une autre histoire qui a emprunté le même surnom. Quand vous vérifiez, cherchez l’identifiant complet, année et chiffres compris.
Le numéro répond à une question : de quelle faille connue parle-t-on? Il ne répond pas aux questions qui comptent dans un bureau.
Deux entreprises peuvent lire le même CVE et faire des choses opposées, et avoir raison toutes les deux.
Un score CVSS, du Common Vulnerability Scoring System, transforme une faille en nombre de 0 à 10. Aucune, faible, moyenne, élevée et critique sont des bandes sur cette échelle. Le score est une estimation normalisée de la gravité dans l’abstrait : comment on l’atteint, si une personne doit cliquer, et ce qu’un attaquant obtient si ça fonctionne. Ce n’est pas la probabilité que votre commerce soit touché cette semaine, et ce n’est pas une facture.
Le catalogue Known Exploited Vulnerabilities, publié par la CISA aux États-Unis, liste chaque vulnérabilité exploitée, un CVE déjà utilisé dans une vraie attaque. Un CVE sur cette liste passe devant. Cela ne veut toujours pas dire que chaque copie sur terre a été compromise. Cela veut dire que le correctif, ou la décision de retirer le système d’Internet public jusqu’à ce que vous puissiez le corriger, ne devrait pas attendre un mois calme.
La page qui nomme votre produit, votre version et la version qui contient le correctif est celle sur laquelle agir. Elle peut venir de l’éditeur du logiciel, de l’entreprise qui héberge le site, ou d’une équipe nationale. Le numéro CVE sert à relier leur note au titre. La note sert à relier le titre à vos machines.
La cybersécurité est le vaste domaine. Un CVE n’est pas tout ce domaine. C’est un identifiant public dans la sécurité logicielle : une faille numérotée dans un produit. La sécurité de l’information est plus large que le produit, parce qu’elle couvre aussi qui peut voir un fichier et comment les données sont traitées. La sécurité informatique est le nom courant du sujet. Ces noms se cherchent à côté de CVE. Ce ne sont pas trois identifiants, et ils ne remplacent pas le numéro.
La gestion des vulnérabilités, c’est l’habitude de lister les logiciels que vous exécutez vraiment et d’y rattacher les nouveaux CVE. L’identifiant est la clé de recherche. Le nom long, Common Vulnerabilities and Exposures, est le développement officiel. Dans la recherche, ce sont les trois lettres que les gens tapent. Quand vous cherchez, utilisez l’identifiant.
Un exploit est une chose à part : la méthode qui se sert d’une faille. La fiche CVE nomme la faille et pointe vers des références. Ce n’est pas une série d’étapes. Un titre peut dire « exploit » et rester inutile tant que l’identifiant CVE ne correspond pas à un produit et à une version que vous exécutez. Une vulnérabilité zero-day est une faille utilisée avant qu’un correctif soit public. Elle peut déjà avoir un CVE, ou le numéro peut être attribué après. L’étiquette et l’identifiant ne répondent pas à la même question.
Au Canada, une faille assez grande peut aussi faire l’objet d’une alerte du Centre canadien pour la cybersécurité. L’alerte nomme encore un CVE.
Octobre 2026 l’a montré en public. Deux failles critiques dans PHP, le langage sous une grande part des sites du monde, ont reçu des identifiants CVE et une version corrigée. Des gouvernements dans plus d’une région ont mis des sites hors ligne pour appliquer le correctif. Le Centre canadien pour la cybersécurité a publié l’alerte AL26-026. Rien de cela n’exigeait un identifiant différent en Europe, en Asie, en Afrique ou dans les Amériques. La version pour les propriétaires, y compris quoi demander à l’hébergeur, est dans PHP2Shell : les failles PHP d’octobre 2026.
Le même mois, une faille dans une bibliothèque de compression utilisée par Node.js et d’autres environnements a montré l’autre schéma : un CVE, beaucoup de produits, parce que le code est embarqué dans des logiciels que vous n’avez pas installés à la main. Ce texte est Node2Shell et les copies que vous oubliez d’avoir livrées.
Une troisième histoire n’avait pas de mise à jour propre à la fin. Une faille Wi-Fi ancienne dans certains routeurs de maison et de petit bureau, discutée sous le nom WPSplinter, a laissé beaucoup de boîtiers sans correctif testé. Un identifiant ne fait pas apparaître un correctif que le fabricant n’a jamais livré. La version pratique est quoi faire quand le routeur ne sera pas corrigé.
Certaines des semaines les plus bruyantes ne sont pas des CVE. En octobre 2026, l’identifiant volé d’un produit de sauvegarde a ouvert des locataires Microsoft 365 qui avaient accordé à cette application un accès large. Il n’y avait pas de CVE à l’intérieur de Microsoft 365 à citer. L’accès était une clé que l’organisation avait déjà approuvée. La vérification est dans votre sauvegarde Microsoft 365 peut aussi être attaquée. Si un titre n’a pas de CVE, n’attendez pas qu’il en ait un avant de regarder.
Descendez la liste. Arrêtez-vous quand une étape vous dit que la faille n’est pas la vôtre.
Gardez la réponse. Si le système était exposé et encore non corrigé après que l’éditeur a dit que des attaques avaient commencé, changez les mots de passe et les clés que ce système pouvait atteindre, et faites regarder les journaux par quelqu’un qui fait ce travail. C’est une conversation d’incident, pas une conversation de journal.
Non. Un CVE décrit une faiblesse. Une intrusion, c’est quelqu’un qui utilise une faiblesse, une clé volée, ou une erreur dans la façon dont le système a été installé. Beaucoup de CVE ne sont jamais utilisés. Certains incidents graves ne reçoivent jamais de CVE.
Les autorités de numérotation CVE. Elles comprennent les fabricants du logiciel et des centres de coordination dans plus d’un pays. Vous ne demandez pas un CVE parce qu’un titre vous a inquiété. Si vous croyez avoir trouvé une faille, vous le dites à l’éditeur, ou à une équipe nationale, et ils décident si elle reçoit un identifiant.
Parce qu’on publie plus de logiciels, et qu’on en examine davantage. Un numéro de série plus grand n’est pas une année plus dangereuse pour votre entreprise. C’est un catalogue plus occupé.
Non. Suivez les produits que vous utilisez : la plateforme du site, la suite bureautique, le pare-feu ou le routeur, l’outil de sauvegarde, le logiciel métier. Quand un CVE en nomme un, vous vérifiez la version. Le reste est de l’actualité du secteur.
Seulement si vous exécutez une version touchée, et que ceux qui livrent le logiciel ou une équipe nationale disent qu’elle est utilisée, et que vous ne pouvez pas installer le correctif rapidement. Le score trie la file. Votre liste de versions prend la décision.
Si le numéro devant vous concerne PHP, Node, un routeur ou une application de sauvegarde Microsoft 365, les quatre textes liés plus haut sont écrits pour des propriétaires. Si vous voulez que quelqu’un fasse la vérification de version avec vous, Amen Security fait ce travail pour les petites et moyennes entreprises depuis Winnipeg, sur place au Manitoba et à distance au Canada et aux États-Unis. La façon de lire un CVE est la même, où que se trouve la machine.
Votre commentaire sera publié après examen par notre équipe.
Continuer la lecture
Deux failles critiques de PHP (CVE-2026-109618/109619) menacent les sites non corrigés. Trouvez votre version de PHP, vérifiez votre hébergeur, corrigez — la vérification de 15 minutes.
Node2Shell (CVE-2026-111497) : une faille Brotli dans Node.js, Python, Bun et Envoy. Versions corrigées, correctif Python discret, et la chasse à chaque copie.
L'identifiant volé d'une application de sauvegarde a donné accès à des locataires Microsoft 365 en octobre 2026. Cette liste de contrôle pour PME canadiennes vérifie l'accès des applications, les autorisations et les restaurations.
