FAQ

Une CVE est simplement une déclaration publique qu’une faille existe dans un produit donné, tandis qu’une vulnérabilité exploitée signifie qu’un attaquant utilise activement cette faille pour compromettre des systèmes. En d’autres termes, toutes les CVE ne sont pas exploitées en conditions réelles : certaines peuvent rester théoriques ou techniques.

À l’inverse, une vulnérabilité peut être exploitée sans avoir encore reçu de CVE - c’est ce qu’on appelle une zero-day. Pour évaluer le danger réel d’une CVE, il faut consulter des informations complémentaires comme les données KEV de la CISA ou le score EPSS, qui indiquent si la faille est activement utilisée dans des cyberattaques. Ces informations sont disponible directement depuis notre site Internet CVEFind.

Les identifiants CVE sont attribués par une organisation américaine à but non lucratif appelée MITRE Corporation, qui gère le programme CVE au nom de l’Agence de cybersécurité et de sécurité des infrastructures (CISA). MITRE ne distribue pas seule tous les identifiants : elle s’appuie sur un réseau de partenaires appelés CNA (CVE Numbering Authorities).

Un CNA peut être un éditeur de logiciel, un fournisseur de sécurité, un CERT ou une organisation spécialisée en vulnérabilités. Chaque CNA est autorisé à attribuer des identifiants CVE pour les vulnérabilités découvertes dans ses propres produits ou dans son périmètre. Ce système permet d’accélérer la déclaration des failles tout en maintenant une structure centralisée via MITRE.

La liste KEV (Known Exploited Vulnerabilities) publiée par la CISA recense les vulnérabilités activement exploitées dans la nature, c’est-à-dire déjà utilisées dans des cyberattaques réelles. Cette liste a pour objectif d’aider les organisations à prioriser leurs efforts de correction, en se concentrant sur les failles qui représentent une menace immédiate.

En publiant cette liste, la CISA fournit un outil de gestion des risques très concret : elle signale non seulement les failles connues, mais aussi les plus critiques et les plus urgentes. Pour les agences fédérales américaines, la correction de ces failles est obligatoire dans des délais stricts. Mais au-delà des États-Unis, la KEV est largement consultée par les professionnels de la cybersécurité dans le monde entier pour orienter leur stratégie de patch management.

La CISA joue un rôle central dans la gestion des vulnérabilités à grande échelle. Elle identifie, évalue et communique activement sur les failles de sécurité qui pourraient affecter les infrastructures critiques, notamment les services gouvernementaux, les opérateurs de services essentiels, et les grandes entreprises. Elle travaille souvent en collaboration avec le MITRE, les éditeurs, les chercheurs en sécurité, et d’autres agences internationales.

Parmi ses responsabilités, elle publie des bulletins de sécurité, coordonne les réponses à certaines vulnérabilités majeures, et impose parfois, par le biais de directives fédérales (BODs), des délais de correction obligatoires pour certaines failles dans les entités publiques. Son objectif est de réduire le délai entre la découverte d’une vulnérabilité et son traitement effectif sur le terrain.

La CISA (Cybersecurity and Infrastructure Security Agency) est une agence gouvernementale américaine. Elle est chargée de protéger les infrastructures critiques des États-Unis contre les menaces cyber et physiques, en apportant du soutien, des outils, et des recommandations aux administrations, aux entreprises, et au public.

Dans le domaine de la cybersécurité, la CISA agit comme un centre de coordination pour prévenir les cyberattaques, réagir aux incidents, partager des informations sur les menaces, et promouvoir les meilleures pratiques de sécurité. Bien qu'américaine, son rôle et ses ressources influencent les pratiques de cybersécurité à l’échelle mondiale, en raison de sa transparence et de son leadership.