# Qu’est-ce qu’une vulnérabilité CVE ? > Amen Security Team · 2026-10-25T04:42:48.582Z · security · vulnérabilité CVE · qu’est-ce qu’un CVE · signification CVE · sécurité logicielle · gestion des vulnérabilités · NVD Un titre à Nairobi, un courriel de fournisseur à Winnipeg, une alerte à Francfort : quand ils parlent de la même faille, ils utilisent en général la même chaîne de caractères. Cette chaîne est une vulnérabilité CVE. Ce n’est pas un verdict qui dirait que vous avez été piraté. C’est un numéro public, pour que des gens sur tous les continents parlent d’une seule faille sans lui inventer un nom différent dans chaque langue. Ce guide s’adresse à la personne qui possède le site, le système de la clinique, la caisse du commerce ou les ordinateurs portables, et qui vient de voir un numéro CVE qu’elle ne reconnaît pas. Vous n’avez pas à devenir chercheur. Vous avez à savoir ce que le numéro dit, ce qu’il ne dit pas, et la question qui décide si c’est votre problème. En une minute - Qu’est-ce qu’un CVE ? C’est un identifiant public pour une faiblesse logicielle connue, une vulnérabilité CVE. Les lettres veulent dire Common Vulnerabilities and Exposures. - Le numéro existe pour que les éditeurs, les gouvernements et les salles de nouvelles parlent de la même faille. - L’identifiant ne dit pas que votre copie est touchée, que quelqu’un s’en sert contre vous, ni qu’un correctif existe ce soir. - La page utile ensuite est la note de l’éditeur : le produit, la version, et la version qui contient le correctif. - Certaines mauvaises semaines ne sont pas des CVE. Un mot de passe volé, ou une application de sauvegarde trop permissive, n’a pas besoin d’un numéro CVE pour être grave. Ce que veulent dire les lettres La signification CVE est Common Vulnerabilities and Exposures. Le programme existe pour qu’une faille découverte une fois reçoive un seul identifiant, au lieu d’un surnom différent dans chaque article et chaque pays. La fiche est publiée par le [programme CVE](https://www.cve.org/), coordonné par MITRE, avec des autorités de numérotation qui comprennent des éditeurs de logiciels et des équipes nationales d’intervention. Une entreprise au Japon, un hébergeur au Brésil et une commission scolaire au Canada peuvent citer le même identifiant et parler de la même faille. Une fiche publiée est courte exprès. Elle nomme le problème et pointe vers des références. Les instructions de réparation restent chez ceux qui livrent le logiciel. La NVD, la [National Vulnerability Database](https://nvd.nist.gov/), tenue par le NIST aux États-Unis, ajoute souvent un score de gravité et une liste de produits touchés. Ces ajouts reposent sur l’identifiant. Ils ne sont pas l’identifiant. Comment lire un identifiant CVE Un CVE ressemble à CVE-2026-109618. Trois parties : - CVE. Le préfixe. Si la chaîne ne commence pas ainsi, vous regardez autre chose : un bulletin d’éditeur, un surnom comme PHP2Shell pour une vulnérabilité PHP, ou un symbole boursier qui utilise les mêmes trois lettres. - L’année. L’année où l’identifiant a été attribué ou réservé. Ce n’est pas l’année où l’erreur a été écrite dans le code. Une faille ancienne peut recevoir un identifiant la semaine où quelqu’un la documente enfin. - Les chiffres. Un numéro de série dans cette année. Ce n’est pas un classement. Un nombre plus élevé n’est pas une faille pire. L’ordre d’attribution n’est pas l’ordre du danger. Les surnoms voyagent plus vite que les numéros. PHP2Shell, Node2Shell et WPSplinter sont des titres. Le CVE est la partie que vous pouvez chercher sans tomber sur une autre histoire qui a emprunté le même surnom. Quand vous vérifiez, cherchez l’identifiant complet, année et chiffres compris. Ce qu’un CVE ne vous dit pas Le numéro répond à une question : de quelle faille connue parle-t-on? Il ne répond pas aux questions qui comptent dans un bureau. - Si votre logiciel est dans l’ensemble touché. Une faille dans une version d’une bibliothèque n’est pas une faille dans chaque programme de la machine. - Si quelqu’un s’en est servi. Beaucoup de CVE ne sont jamais utilisés dans de vraies attaques. Certains le sont dans les heures qui suivent la publication. - Si un correctif existe ce soir. L’identifiant peut être public avant la mise à jour. La mise à jour peut exister pendant que d’anciennes copies restent installées. - À quel point c’est grave pour vous. Une faille critique dans un produit que vous n’utilisez pas est un article de journal. Une faille moyenne dans le logiciel de caisse que vous utilisez toute la journée, c’est votre après-midi. Deux entreprises peuvent lire le même CVE et faire des choses opposées, et avoir raison toutes les deux. Trois étiquettes qu’on mélange Le score Un score CVSS, du Common Vulnerability Scoring System, transforme une faille en nombre de 0 à 10. Aucune, faible, moyenne, élevée et critique sont des bandes sur cette échelle. Le score est une estimation normalisée de la gravité dans l’abstrait : comment on l’atteint, si une personne doit cliquer, et ce qu’un attaquant obtient si ça fonctionne. Ce n’est pas la probabilité que votre commerce soit touché cette semaine, et ce n’est pas une facture. La liste des failles déjà utilisées Le [catalogue Known Exploited Vulnerabilities](https://www.cisa.gov/known-exploited-vulnerabilities-catalog), publié par la CISA aux États-Unis, liste chaque vulnérabilité exploitée, un CVE déjà utilisé dans une vraie attaque. Un CVE sur cette liste passe devant. Cela ne veut toujours pas dire que chaque copie sur terre a été compromise. Cela veut dire que le correctif, ou la décision de retirer le système d’Internet public jusqu’à ce que vous puissiez le corriger, ne devrait pas attendre un mois calme. La note de l’éditeur La page qui nomme votre produit, votre version et la version qui contient le correctif est celle sur laquelle agir. Elle peut venir de l’éditeur du logiciel, de l’entreprise qui héberge le site, ou d’une équipe nationale. Le numéro CVE sert à relier leur note au titre. La note sert à relier le titre à vos machines. Sécurité logicielle, et les mots à côté d’un CVE La cybersécurité est le vaste domaine. Un CVE n’est pas tout ce domaine. C’est un identifiant public dans la sécurité logicielle : une faille numérotée dans un produit. La sécurité de l’information est plus large que le produit, parce qu’elle couvre aussi qui peut voir un fichier et comment les données sont traitées. La sécurité informatique est le nom courant du sujet. Ces noms se cherchent à côté de CVE. Ce ne sont pas trois identifiants, et ils ne remplacent pas le numéro. La gestion des vulnérabilités, c’est l’habitude de lister les logiciels que vous exécutez vraiment et d’y rattacher les nouveaux CVE. L’identifiant est la clé de recherche. Le nom long, Common Vulnerabilities and Exposures, est le développement officiel. Dans la recherche, ce sont les trois lettres que les gens tapent. Quand vous cherchez, utilisez l’identifiant. Un exploit est une chose à part : la méthode qui se sert d’une faille. La fiche CVE nomme la faille et pointe vers des références. Ce n’est pas une série d’étapes. Un titre peut dire « exploit » et rester inutile tant que l’identifiant CVE ne correspond pas à un produit et à une version que vous exécutez. Une vulnérabilité zero-day est une faille utilisée avant qu’un correctif soit public. Elle peut déjà avoir un CVE, ou le numéro peut être attribué après. L’étiquette et l’identifiant ne répondent pas à la même question. Au Canada, une faille assez grande peut aussi faire l’objet d’une alerte du [Centre canadien pour la cybersécurité](https://www.cyber.gc.ca/fr/alertes-avis). L’alerte nomme encore un CVE. Le même numéro, sur tous les continents Octobre 2026 l’a montré en public. Deux failles critiques dans PHP, le langage sous une grande part des sites du monde, ont reçu des identifiants CVE et une version corrigée. Des gouvernements dans plus d’une région ont mis des sites hors ligne pour appliquer le correctif. Le Centre canadien pour la cybersécurité a publié l’alerte AL26-026. Rien de cela n’exigeait un identifiant différent en Europe, en Asie, en Afrique ou dans les Amériques. La version pour les propriétaires, y compris quoi demander à l’hébergeur, est dans [PHP2Shell : les failles PHP d’octobre 2026](https://amensecurity.ca/fr/blog/php2shell-critical-php-vulnerability-canada-2026). Le même mois, une faille dans une bibliothèque de compression utilisée par Node.js et d’autres environnements a montré l’autre schéma : un CVE, beaucoup de produits, parce que le code est embarqué dans des logiciels que vous n’avez pas installés à la main. Ce texte est [Node2Shell et les copies que vous oubliez d’avoir livrées](https://amensecurity.ca/fr/blog/node2shell-nodejs-brotli-rce-october-2026). Une troisième histoire n’avait pas de mise à jour propre à la fin. Une faille Wi-Fi ancienne dans certains routeurs de maison et de petit bureau, discutée sous le nom WPSplinter, a laissé beaucoup de boîtiers sans correctif testé. Un identifiant ne fait pas apparaître un correctif que le fabricant n’a jamais livré. La version pratique est [quoi faire quand le routeur ne sera pas corrigé](https://amensecurity.ca/fr/blog/wpsplinter-router-wifi-flaw-october-2026). Certaines des semaines les plus bruyantes ne sont pas des CVE. En octobre 2026, l’identifiant volé d’un produit de sauvegarde a ouvert des locataires Microsoft 365 qui avaient accordé à cette application un accès large. Il n’y avait pas de CVE à l’intérieur de Microsoft 365 à citer. L’accès était une clé que l’organisation avait déjà approuvée. La vérification est dans [votre sauvegarde Microsoft 365 peut aussi être attaquée](https://amensecurity.ca/fr/blog/microsoft-365-backup-security-checklist). Si un titre n’a pas de CVE, n’attendez pas qu’il en ait un avant de regarder. Quoi faire quand un CVE est dans l’actualité Descendez la liste. Arrêtez-vous quand une étape vous dit que la faille n’est pas la vôtre. - Copiez l’identifiant complet. CVE, année et chiffres. Mettez le surnom de côté jusqu’à ce que l’identifiant corresponde. - Nommez le produit et la version que vous exécutez vraiment. Le site, la caisse, le routeur, le serveur, l’extension. « Nous utilisons Internet » n’est pas une version. - Lisez la note de l’éditeur ou de l’hébergeur pour cet identifiant. Cherchez la ligne des versions touchées et la version corrigée. Si vous n’utilisez pas le produit, vous avez fini. - Demandez par écrit à la personne qui l’exploite. Ce peut être votre hébergeur, votre fournisseur de logiciel ou votre fournisseur TI. La question est précise : sommes-nous sur une version touchée, le correctif est-il installé, et le service a-t-il été redémarré pour que la copie en marche soit la copie corrigée? - Si la note dit que la faille est utilisée et que vous ne pouvez pas mettre à jour aujourd’hui, retirez ce système d’Internet public jusqu’à ce que vous puissiez. Débrancher est une étape sérieuse. Deviner est pire. - Ignorez le courriel qui propose de « corriger votre CVE » si vous cliquez maintenant ou si vous payez. Ouvrez le site de l’éditeur, ou parlez au conseiller que vous connaissez déjà, et faites correspondre l’identifiant là. Gardez la réponse. Si le système était exposé et encore non corrigé après que l’éditeur a dit que des attaques avaient commencé, changez les mots de passe et les clés que ce système pouvait atteindre, et faites regarder les journaux par quelqu’un qui fait ce travail. C’est une conversation d’incident, pas une conversation de journal. Questions qu’on pose Un CVE, est-ce la même chose qu’un piratage? Non. Un CVE décrit une faiblesse. Une intrusion, c’est quelqu’un qui utilise une faiblesse, une clé volée, ou une erreur dans la façon dont le système a été installé. Beaucoup de CVE ne sont jamais utilisés. Certains incidents graves ne reçoivent jamais de CVE. Qui a le droit d’en attribuer un? Les autorités de numérotation CVE. Elles comprennent les fabricants du logiciel et des centres de coordination dans plus d’un pays. Vous ne demandez pas un CVE parce qu’un titre vous a inquiété. Si vous croyez avoir trouvé une faille, vous le dites à l’éditeur, ou à une équipe nationale, et ils décident si elle reçoit un identifiant. Pourquoi certaines années ont-elles d’énormes numéros? Parce qu’on publie plus de logiciels, et qu’on en examine davantage. Un numéro de série plus grand n’est pas une année plus dangereuse pour votre entreprise. C’est un catalogue plus occupé. Une petite entreprise doit-elle suivre chaque nouveau CVE? Non. Suivez les produits que vous utilisez : la plateforme du site, la suite bureautique, le pare-feu ou le routeur, l’outil de sauvegarde, le logiciel métier. Quand un CVE en nomme un, vous vérifiez la version. Le reste est de l’actualité du secteur. Un score élevé veut-il dire qu’il faut tout arrêter? Seulement si vous exécutez une version touchée, et que ceux qui livrent le logiciel ou une équipe nationale disent qu’elle est utilisée, et que vous ne pouvez pas installer le correctif rapidement. Le score trie la file. Votre liste de versions prend la décision. Où lire ensuite Si le numéro devant vous concerne PHP, Node, un routeur ou une application de sauvegarde Microsoft 365, les quatre textes liés plus haut sont écrits pour des propriétaires. Si vous voulez que quelqu’un fasse la vérification de version avec vous, Amen Security fait ce travail pour les petites et moyennes entreprises depuis Winnipeg, sur place au Manitoba et à distance au Canada et aux États-Unis. La façon de lire un CVE est la même, où que se trouve la machine. [Cybersécurité pour les entreprises en croissance](https://amensecurity.ca/fr/services/cybersecurity) [Demandez-nous de lire un CVE avec vous](https://amensecurity.ca/fr/contact) ## Sujet : Cybersécurité et conformité - [Guide principal](https://amensecurity.ca/fr/services/cybersecurity.md) - [TI gérées ou dépannage à la demande : comparaison côte à côte](https://amensecurity.ca/fr/guides/msp-vs-break-fix.md) --- Source page: https://amensecurity.ca/fr/blog/what-is-a-cve Markdown version for AI agents · Amen Security Email: info@amensecurity.ca Phone: +1 (204) 514-3536