CVE

CVE signifie Common Vulnerabilities and Exposures. Une CVE est un identifiant unique, comme CVE-2024-3094, attribué à une vulnérabilité de sécurité divulguée publiquement, avec une courte fiche qui la décrit. Le programme CVE délivre ces identifiants par l'intermédiaire de centaines de CVE Numbering Authorities. Une CVE dit de quelle vulnérabilité il s'agit ; elle ne dit pas sa gravité ni comment la corriger.

À quoi ressemble un identifiant CVE

Un identifiant CVE a la forme CVE-YYYY-NNNN : le préfixe, une année et un numéro de séquence de quatre chiffres ou plus. CVE-2021-44228 est Log4Shell dans Apache Log4j ; CVE-2024-3094 est la porte dérobée de la bibliothèque de compression xz.

L'année est celle où l'identifiant a été réservé ou celle où la vulnérabilité a été rendue publique, pas forcément l'année de sa découverte ou de sa correction. Un identifiant réservé en décembre et publié en février garde l'année la plus ancienne, ce qui explique qu'une CVE « 2025 » puisse apparaître en 2026.

Qui attribue les identifiants CVE

Le programme CVE a été fondé en 1999. Il est parrainé par l'agence américaine Cybersecurity and Infrastructure Security Agency (CISA), exploité par MITRE en tant que secrétariat et gouverné par un CVE Board.

Les identifiants sont attribués par des CVE Numbering Authorities (CNA) : éditeurs de logiciels, projets open source, CERT, plateformes de bug bounty et sociétés de recherche, chacun pour un périmètre convenu, en général ses propres produits. Microsoft attribue les identifiants des produits Microsoft, le projet du noyau Linux ceux du noyau, GitHub ceux des projets qui signalent via GitHub. La liste des partenaires CVE compte plus de 500 organisations. Les Roots et Top-Level Roots (MITRE et la CISA) recrutent et supervisent les CNA, et une CNA of Last Resort prend en charge les signalements qu'aucune autre CNA ne couvre. Les Authorized Data Publishers (ADP) ajoutent des informations aux fiches publiées par d'autres ; l'ADP de la CISA ajoute par exemple des points de décision SSVC et le statut KEV.

Si vous avez besoin d'un identifiant pour une vulnérabilité de votre propre produit, voir identifiants CVE et CNA.

Le cycle de vie d'une fiche CVE

1. Une vulnérabilité est découverte et signalée à l'éditeur ou à une CNA.
2. La CNA réserve un identifiant, souvent pendant que la vulnérabilité est encore sous embargo et avant qu'un correctif existe.
3. La CNA publie la fiche : une description, les produits et versions concernés, et des références. Elle peut ajouter un score CVSS et une CWE.
4. D'autres l'enrichissent : les ADP ajoutent des données à la fiche, et des bases en aval comme la NVD, l'EUVD et les distributions Linux ajoutent leurs propres scores, noms de produits et statuts de correction.
5. La fiche peut ensuite être mise à jour, ou rejetée si elle s'avère être un doublon ou ne pas être une vulnérabilité.

Les fiches utilisent le format CVE JSON 5 et sont publiées dans le dépôt cvelistV5, qui alimente nos tendances de publication des CVE.

CVE, CVSS, CWE, NVD et EUVD

Terme	Ce que c'est	Géré par	Exemple	Répond à
CVE	Identifiant et fiche d'une vulnérabilité	Programme CVE	CVE-2024-3094	Quelle vulnérabilité ?
CVSS	Score de gravité de 0 à 10, avec vecteur	FIRST	10.0 Critical	Quelle gravité, en général ?
CWE	Catalogue de types de faiblesses	MITRE	CWE-79 (XSS)	Quel type d'erreur ?
NVD	Base qui enrichit les fiches CVE	NIST	CVSS, CWE, CPE	Quels produits, quelle gravité ?
EUVD	Base européenne des vulnérabilités	ENISA	EUVD-2025-4893	La vue de l'UE sur le même problème
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	Quelles versions du paquet ?
OSV	Format et base ouverts d'avis de sécurité	OpenSSF, Google	Agrège GHSA et d'autres	Quelles versions du paquet ?

• CVSS (FIRST, version 4.0 depuis novembre 2023) mesure la gravité, pas le risque. Une CVE peut porter plusieurs scores : celui de la CNA, celui de la NVD, celui d'une distribution.
• CWE (cwe.mitre.org) classe l'erreur à l'origine d'une vulnérabilité, comme le cross-site scripting ou une écriture hors limites. De nombreuses CVE partagent une même CWE.
• La NVD n'est pas la liste CVE. La National Vulnerability Database du NIST reprend les fiches CVE publiées et y ajoute une analyse, notamment les noms CPE que les scanners utilisent pour apparier les produits. Une CVE existe dès que sa CNA la publie, que la NVD l'ait enrichie ou non.
• L'EUVD est la base de l'ENISA, opérationnelle depuis le 13 mai 2025 (ENISA). Elle attribue à chaque entrée un identifiant EUVD et liste les identifiants CVE et GHSA comme alias. L'ENISA est aussi une CNA depuis janvier 2024. Dans le cadre du CRA, les vulnérabilités corrigées notifiées via la plateforme unique de signalement peuvent ensuite être divulguées dans l'EUVD.
• GHSA et OSV sont organisés par écosystème et par paquet plutôt que par produit, et correspondent donc directement à la package URL d'un composant.

Deux autres signaux s'ajoutent à une CVE : si elle est exploitée (KEV de la CISA) et quelle est la probabilité qu'elle le soit (EPSS). La façon dont les équipes les combinent est traitée dans priorisation des vulnérabilités.

Pourquoi la même CVE apparaît plusieurs fois dans un scan

Un scanner signale des résultats, pas des CVE. Une CVE devient de nombreux résultats lorsque plusieurs composants embarquent la même bibliothèque, lorsque plusieurs produits ou images la livrent, ou lorsque deux outils la signalent sous des identifiants différents. « 400 CVE » dans un rapport correspondent souvent à bien moins de vulnérabilités distinctes ; voir réduire le bruit des vulnérabilités.

2025 et 2026 : l'alerte sur le financement et les changements de la NVD

• Avril 2025. MITRE a informé le CVE Board que son contrat d'exploitation du programme expirait le 16 avril. La CISA l'a prolongé dans la nuit, de 11 mois (The Record), et a indiqué qu'il s'agissait d'une question d'administration du contrat et non de financement. Des membres du CVE Board ont annoncé la CVE Foundation, une organisation à but non lucratif destinée à donner au programme une gouvernance indépendante. Les fiches CVE sont publiées sans interruption depuis, jusqu'en novembre 2026.
• Mai 2025. L'ENISA a lancé l'EUVD, largement présentée comme un moyen pour l'Europe de moins dépendre d'un seul programme géré par les États-Unis.
• NVD. En avril 2025, le NIST a marqué comme différées les CVE publiées avant 2018 qui attendaient encore un enrichissement. Depuis le 15 avril 2026, il n'enrichit que les CVE qui remplissent des critères de priorité, en commençant par les entrées du KEV de la CISA, et marque les autres « Lowest Priority - not scheduled for immediate enrichment » (NIST). Les outils qui n'apparient que sur les données CPE de la NVD voient désormais davantage de lacunes ; l'appariement par paquet (OSV, GHSA, package URL) dépend moins de la NVD.

Combien de CVE sont publiées

Le programme CVE a publié 39 718 fiches en 2024 et 47 801 en 2025, et le rythme continue d'augmenter. Le décompte de l'année en cours, par semaine et par CNA, figure dans les tendances de publication des CVE ; ce que ce volume signifie pour une petite équipe est expliqué dans automatisation de la gestion des vulnérabilités. Les cas récents qui ont leur propre page se trouvent sous vulnérabilités.

Les CVE et votre logiciel

Savoir quelles CVE vous concernent commence par savoir quels composants et quelles versions chaque build contient réellement : voir SBOM au moment du build et sommes-nous concernés par une CVE ?. La correction est traitée dans remédiation des CVE, les vulnérabilités sans correctif dans vulnérabilité zero-day, et le processus d'ensemble dans gestion des vulnérabilités. Une CVE décrit une vulnérabilité, pas un exploit : beaucoup de CVE ne sont jamais exploitées.

CRACI rapproche les composants enregistrés dans chaque build des vulnérabilités publiées et les réévalue à mesure que de nouvelles CVE apparaissent.