Explication des systèmes CVE et CVSS

Qu'est-ce qu'une CVE ?

A CVE (Common Vulnerabilities and Exposures) est un identifiant public unique pour une faille de sécurité spécifique, par exemple : CVE-2026-110264. Le format est le suivant : l’année d’attribution de l’identifiant, suivie d’un numéro de séquence.

Les cartes d'identité sont délivrées par Autorités de numérotation CVE (CNA)Les éditeurs de logiciels, les chercheurs et les coordinateurs autorisés par le programme CVE, géré par MITRE et financé par le gouvernement américain, sont concernés. Un identifiant CVE permet à tous de confirmer qu'il s'agit du même bug. En soi, il ne renseigne pas sur sa dangerosité.

Vous verrez les termes associés

• CWE (Énumération des faiblesses communes) : taper d'erreur, comme CWE-79 (cross-site scripting) ou CWE-416 (use-after-free).
• NVD (Base de données nationale sur les vulnérabilités) : Base de données du NIST qui ajoute des analyses et des scores aux enregistrements CVE.
• KEV (Vulnérabilités exploitées connues) : Catalogue des CVE de la CISA confirmé être exploités à l'état sauvage.
• EPSS (Système de notation de prédiction d'exploit) : un modèle FIRST estimant la probabilité qu'une CVE soit exploitée dans les 30 prochains jours.

Qu'est-ce que le CVSS ?

Le Système commun de notation des vulnérabilités, géré par FIRST, évalue les gravité technique d'une faille allant de 0,0 à 10,0. Le score de base combine la facilité d'exploitation de la faille et les dégâts qu'une attaque réussie pourrait causer.

Les huit indicateurs de base (CVSS 3.1)

Essayez-le vous-même avec notre Calculateur CVSS.

Lecture d'une chaîne vectorielle

Les avis impriment souvent le score sous forme de chaîne vectorielle. Voici celle concernant la vulnérabilité CVE-2026-110264 de GitLab, issue de notre couverture du Black October :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H   →  10.0 Critical

Lisez-le de gauche à droite : accessible par-dessus le Nréseau, Lcomplexité actuelle, No privilèges, No interaction utilisateur, portée Cpendu, et HL'impact est considérable sur la confidentialité, l'intégrité et la disponibilité. En clair : n'importe qui sur Internet peut en prendre le contrôle total, sans identification ni intervention de la victime. C'est le pire scénario possible.

CVSS 3.1 vs CVSS 4.0

La version 4.0 du CVSS a été publiée par FIRST en novembre 2023 et est de plus en plus utilisée dans les avis de sécurité (par exemple, les avis de sécurité PHP pour 2026 l'utilisent). Principales différences :

• Un nouveau Exigences d'attaque (AT) Cette métrique capture des conditions hors du contrôle de l'attaquant, telles qu'une configuration spécifique.
• Portée est remplacé par des évaluations d'impact distinctes pour le système vulnérable et pour systèmes ultérieurs.
• Nouveau supplément Les indicateurs (tels que Automatisable et Récupération) ajoutent du contexte sans modifier le score.
• Les scores des deux versions sont non directement comparable. Notez toujours quelle version de la partition est utilisée.

Comment prioriser : la gravité n’est pas un risque

CVSS mesure la gravité d'un défaut pourrait Votre risque réel dépend de si vous utilisez le logiciel concerné, s'il est exposé et s'il est utilisé par des attaquants. Voici une procédure pratique :

1. Répertorié dans CISA KEV et présent sur un système exposé à Internet : appliquez immédiatement le correctif.
2. Critique ou élevé, exposée sur Internet, avec une faille de sécurité publique ou un EPSS élevé : correctif dans les jours qui suivent.
3. Critique ou élevé Concernant les systèmes internes : planifier rapidement et ajouter des contrôles compensatoires.
4. Moyen et faible: gérez-le dans votre cycle de correctifs habituel.