CVE

Un identifiant, pas une évaluation

Un identifiant CVE (Common Vulnerabilities and Exposures) nomme une vulnérabilité rendue publique : CVE, l'année d'attribution, puis un numéro, comme CVE-2026-109618. Le programme CVE résume sa mission en une phrase : « identify, define, and catalog publicly disclosed cybersecurity vulnerabilities ». Une fiche par vulnérabilité, un identifiant que tous les outils, avis de sécurité et bases de données reprennent à l'identique. L'identifiant ne dit rien de la gravité, de l'exploitation ni du correctif ; d'autres dispositifs s'en chargent, décrits plus bas. En français, le sigle reste invariable : une CVE, des CVE.

L'idée vient d'un article de David E. Mann et Steven M. Christey, de MITRE, présenté les 21 et 22 janvier 1999 à l'université Purdue. Le groupe de travail qui en découle rédige 321 fiches, et la liste publique ouvre en septembre 1999. Le programme est financé par la CISA, l'agence de cybersécurité du département de la Sécurité intérieure des États-Unis, et opéré par MITRE sous contrat. Au 21 octobre 2026, cve.org annonce plus de 394 000 fiches ; sa page de métriques compte 28 961 fiches publiées en 2023, 40 077 en 2024, 48 244 en 2025 et 35 872 sur le seul premier semestre 2026.

Les CNA, GitHub et le cas PHP2Shell

Le programme délègue l'attribution de la plupart des identifiants à des CNA (CVE Numbering Authorities), « authorized by the CVE Program to assign CVE IDs to vulnerabilities » et à publier les fiches dans leur périmètre : éditeurs, projets open source, CERT, chercheurs, plateformes de bug bounty. Au 21 octobre 2026, cve.org en compte 559 (556 CNA et 3 CNA-LR) dans 43 pays. Un éditeur CNA attribue ses propres numéros, ce qui lui permet de réserver un identifiant pendant l'embargo et de le publier avec le correctif.

PHP2Shell montre le mécanisme. Le projet PHP est CNA : il réserve CVE-2026-109618 le 12 octobre 2026 et publie la fiche le 21 octobre à 13h48 UTC, en même temps que les versions corrigées. L'avis correspondant sur GitHub porte l'identifiant GHSA-w8hw-w9fx-j79w (GitHub Security Advisory) et renvoie à la même CVE, avec le même score 9.2 et cinq faiblesses CWE, dont CWE-416 (use-after-free) et CWE-824 (pointeur non initialisé). Un GHSA peut exister sans CVE : la faille OpenCode décrite dans cet article a été publiée sous GHSA seul. Le cadre général de cette coordination entre chercheur, éditeur et date de publication est décrit sur la fiche divulgation coordonnée.

CVSS et EPSS : mesurer la gravité, puis la probabilité

Le score de gravité s'appelle CVSS (Common Vulnerability Scoring System) et appartient au FIRST, l'association des équipes de réponse à incident, qui en a reçu la charge en avril 2005. Le FIRST publie la version 4.0 le 1er novembre 2023, après la 1 (février 2005), la 2 (juin 2007), la 3 (2015) et la 3.1 (juin 2019). La 4.0 nomme quatre lectures du score (CVSS-B pour la base, BT avec la menace, BE avec l'environnement, BTE avec les deux), ajoute des métriques supplémentaires (Automatable, Recovery, Value Density, Vulnerability Response Effort, Provider Urgency) et des métriques de sécurité physique pour les systèmes industriels. Les deux CVE PHP2Shell reçoivent 9.2 en CVSS 4.0 avec un vecteur AC:H/AT:P : un score critique n'implique pas un exploit facile.

Le score mesure une gravité théorique. Pour la probabilité d'attaque, le FIRST publie l'EPSS (Exploit Prediction Scoring System), un modèle statistique qui « estimates the probability that a published CVE will be exploited in the wild in the next 30 days », entre 0 et 1, recalculé chaque jour pour chaque CVE. Un RSSI qui trie 48 000 fiches par an a besoin des deux colonnes.

NVD : l'enrichissement et son retard

La NVD (National Vulnerability Database), tenue par le NIST, enrichit chaque fiche CVE : produits touchés, faiblesse CWE, score CVSS quand la CNA n'en donne pas. Le NIST accumule un retard depuis début 2024. Le 15 avril 2026, il annonce une réorganisation sous le titre « NIST Updates NVD Operations to Address Record CVE Growth » : les soumissions ont augmenté de 263 % entre 2020 et 2025, et le premier trimestre 2026 dépasse d'un tiers celui de 2025. Le NIST enrichit désormais en priorité les CVE du catalogue KEV (sous un jour ouvré), celles des logiciels utilisés par l'administration fédérale et celles des logiciels critiques au sens du décret 14028. Les autres entrent dans la base avec l'étiquette « Lowest Priority - not scheduled for immediate enrichment », et le retard antérieur au 1er mars 2026 bascule dans cette catégorie. Le NIST indique avoir enrichi près de 42 000 CVE en 2025 et cesse d'ajouter son propre score à une fiche qui en porte déjà un.

KEV : la liste de ce qui est exploité

Le catalogue KEV (Known Exploited Vulnerabilities) de la CISA liste les CVE dont l'exploitation est constatée. La directive BOD 22-01 du 3 novembre 2021 l'a créé et imposait aux agences fédérales américaines de corriger les entrées dans les délais du catalogue. Le 10 juin 2026, la CISA la remplace par la directive BOD 26-04 « Prioritizing Security Updates Based on Risk », dont le texte « supersedes and hereby revokes » BOD 19-02 et BOD 22-01 ; le catalogue continue, ses critères d'inclusion restent inchangés, et la nouvelle directive élargit l'obligation à la gestion des vulnérabilités dans leur ensemble, en trois phases sur 180 jours. Au 21 octobre 2026, le catalogue compte 1 754 entrées, la dernière ajoutée le 20 octobre, et aucune des deux CVE PHP2Shell n'y figure. En France, le CERT-FR de l'ANSSI publie ses propres alertes, comme CERTFR-2026-ALE-014 sur PHP2Shell.

EUVD : la base européenne

Le 13 mai 2025, la Commission européenne annonce l'ouverture de l'EUVD (European Vulnerability Database), tenue par l'ENISA au titre de la directive NIS2. L'agence la décrit comme une source d'« aggregated, reliable, and actionable information such as mitigation measures and exploitation status » sur les produits et services numériques, et la Commission précise qu'elle soutiendra l'application du Cyber Resilience Act. L'EUVD reprend les identifiants CVE comme clé d'entrée.

Le financement du programme, d'avril 2025 à 2026

Le 15 avril 2025, une lettre de Yosry Barsoum, vice-président de MITRE, révèle que le gouvernement américain ne renouvellera pas le contrat de gestion des programmes CVE et CWE, qui expire le 16 avril. Le lendemain, la CISA active l'option du contrat de 57,8 millions de dollars pour onze mois, jusqu'au 16 mars 2026, afin qu'il n'y ait « no lapse in critical CVE services ». Le même jour, des membres du CVE Board annoncent la CVE Foundation, dont l'objet déclaré est de faire passer le programme « from a single funding stream to a diversified and stable funding model ».

Au 21 octobre 2026, la situation se lit dans trois documents. Le 10 septembre 2025, la CISA publie sa feuille de route « CVE Quality for a Cyber Secure Future ». Le 9 mars 2026, CSO Online rapporte que la CISA et MITRE ont renégocié le contrat et, selon des sources anonymes, transformé le financement en ligne protégée du budget de la CISA ; Nick Andersen, directeur par intérim de la CISA, y déclare que « the CVE program is fully funded », sans montant ni durée publiés. Le 23 septembre 2026, la CISA publie « CVE Program: Establishing a Quality Era Framework », qui organise le programme autour de quatre dimensions : gouvernance, participation de l'écosystème, infrastructure de données et contenu des fiches. Aucun communiqué officiel ne détaille le contrat en vigueur.