CVE
CVE · Common Vulnerabilities and Exposures · identifiant CVE · CVE ID · CNA · NVD · EUVD
Identifiant unique et public attribué à une vulnérabilité connue (par exemple CVE-2021-44228), qui permet à tout le monde de parler de la même faille sans ambiguïté.
En pratique
Le programme CVE, créé en 1999, est opéré par MITRE et financé par la CISA, l’agence américaine de cybersécurité. Les identifiants, au format CVE-année-numéro, sont attribués par des CNA (CVE Numbering Authorities) : éditeurs, chercheurs ou CERT habilités. Chaque fiche décrit brièvement la faille et les produits touchés ; d’autres bases l’enrichissent, comme la NVD du NIST (score CVSS, CWE, versions concernées) et, en Europe, l’EUVD lancée par l’ENISA en mai 2025. Un CVE ne dit pas à lui seul si vous êtes concerné ni s’il faut se presser : il se croise avec votre inventaire, le CVSS, l’EPSS et le catalogue KEV.
Cas réel : CVE-2021-44228, surnommée Log4Shell, désigne la faille de la bibliothèque Java Log4j révélée en décembre 2021. Notée 10 sur 10 au CVSS, elle touchait d’innombrables produits ; son identifiant unique a permis aux éditeurs, aux CERT et aux outils de scan de coordonner les correctifs dans le monde entier.
