CWE
CWE · Common Weakness Enumeration · CWE Top 25 · faiblesse logicielle · type de faille
Catalogue public des types d’erreurs de conception et de programmation à l’origine des vulnérabilités, chaque type portant un numéro (par exemple CWE-89 pour l’injection SQL).
En pratique
Un CVE désigne une faille précise dans un produit précis ; une CWE désigne la famille d’erreurs qui l’a rendue possible. Le catalogue, développé avec la communauté, est géré par MITRE et financé par la CISA ; il couvre les logiciels comme le matériel et il est mis à jour trois à quatre fois par an. MITRE publie chaque année le CWE Top 25 des faiblesses les plus dangereuses : l’édition 2025, fondée sur 39 080 CVE, place en tête le cross-site scripting (XSS, CWE-79), l’injection SQL (CWE-89) et la falsification de requête intersites (CWE-352). Les outils SAST et les rapports de test d’intrusion classent leurs constats par CWE, ce qui révèle les erreurs récurrentes d’une équipe.
Cas fictif : une équipe constate que la majorité de ses vulnérabilités de l’année relèvent de deux CWE, CWE-79 et CWE-862 (absence de contrôle d’autorisation). Elle cible sa formation et ses règles d’analyse statique sur ces deux familles, et les constats correspondants chutent dès le trimestre suivant.
