État des textes au . Nous mettons cette fiche à jour quand la réglementation évolue.
Définition
Une CVE (Common Vulnerabilities and Exposures) est un identifiant unique et public attribué à une vulnérabilité de sécurité connue, au format CVE-AAAA-NNNNN. Le programme, financé par l'agence américaine CISA et opéré par MITRE, fournit une référence normalisée pour qu'éditeurs, chercheurs et défenseurs désignent sans ambiguïté la même faille. Depuis mai 2025, l'ENISA publie aussi une base européenne, l'EUVD, qui reprend les identifiants CVE.
Pourquoi c'est important
La CVE est la clé de voûte de la gestion des vulnérabilités : elle relie un composant vulnérable, un correctif éditeur et, souvent, un score de gravité et des preuves d'exploitation. Le volume publié augmente chaque année et le délai entre publication et exploitation de masse se réduit. Des attaquants outillés par l'IA analysent les CVE fraîchement publiées pour produire des exploits en quelques jours, d'où l'importance d'un patch management priorisé et rapide. En 2025, la menace d'un arrêt du financement du programme a rappelé la dépendance de l'écosystème à un acteur unique. Toutes les CVE ne se valent pas : une même faille peut être critique sur un serveur exposé et négligeable sur un poste isolé. Le vrai travail consiste à évaluer l'exposition et l'exploitabilité dans votre contexte.
Ce que fait AOCSI
Nos audits croisent l'inventaire de vos actifs avec les CVE connues et leur exploitabilité réelle, pour séparer le bruit du risque. Le suivi continu des CVE qui touchent votre parc relèvera de notre gestion des vulnérabilités managée, en cours d'ouverture. Dans tous les cas, la priorité tient compte de votre contexte, pas du seul score.
Textes et sources
Pôle de rattachementAudit de cybersécuritéPrestations et prix