Anatomie d’un CVE : comment Commvault protège ses clients

Points clés à retenir

• Un CVE est un identifiant unique au monde attribué à une vulnérabilité logicielle rendue publique, qui permet aux éditeurs, aux chercheurs et aux responsables de la sécurité de s’y référer de manière cohérente.
• L’approche adoptée par une organisation en matière de divulgation des vulnérabilités – notamment la mise en place de correctifs coordonnés, la collaboration avec les chercheurs et la tenue d’un inventaire précis des logiciels – constitue un indicateur fiable de sa maturité globale en matière de sécurité.
• Commvault assure la protection de ses clients grâce à un programme CVE caractérisé par la transparence, la régularité et la clarté. La manière dont les vulnérabilités CVE sont divulguées en dit long sur la maturité d’un programme de sécurité et d’ingénierie.

Pourquoi est-ce important ?

De nombreuses failles qui parviennent jusqu’au conseil d’administration trouvent leur origine dans des vulnérabilités logicielles. Le mécanisme utilisé par l’ensemble du secteur pour nommer et décrire ces vulnérabilités est le CVE (Common Vulnerabilities and Exposures). La manière dont un fournisseur, ou votre propre entreprise, gère les CVE est l’un des indicateurs les plus évidents de la maturité en matière de sécurité.

Une entreprise qui communique ses vulnérabilités et reconnaît à sa juste valeur le travail des chercheurs est généralement une entreprise qui prend au sérieux l’ingénierie sous-jacente. Cet article explique comment un CVE est créé, qui gère le système et ce qui distingue une divulgation exemplaire d’une divulgation médiocre.

Au-delà du CVE : pourquoi la philosophie de la divulgation est importante

La publication d’un CVE est un minimum indispensable. Les éléments qui font la différence sont les suivants : la transparence concernant la vulnérabilité et le correctif, la mise en place régulière d’analyses et d’applications de correctifs, ainsi qu’une communication claire. Commvault considère la divulgation comme une discipline d’ingénierie et de sécurité plutôt que comme une simple formalité de conformité : établir un rythme régulier pour la révision du code et la correction des failles, communiquer les mesures correctives dans un langage simple et clair, et protéger nos clients. C’est cette cohérence, plus que n’importe quel score pris isolément, qui témoigne de la maturité en matière de sécurité dans la divulgation des CVE.

Qu’est-ce qu’une vulnérabilité CVE, au juste ?

Un CVE n’est ni un correctif, ni un score, ni un logiciel malveillant. Il s’agit d’une entrée de dictionnaire qui attribue à une vulnérabilité spécifique et connue du public un nom permanent et unique, afin que chacun puisse s’y référer. L’identifiant lui-même respecte un format simple et stable : les lettres « CVE », l’année d’attribution de l’identifiant et un numéro d’ordre, par exemple « CVE-2021-44228 ».

L’ampleur du programme est considérable et ne cesse de croître : 48 000 CVE ont été publiés en 2025, soit environ 132 par jour, ce qui représente une hausse de plus de 260 % depuis 2020.

Anatomie d’un enregistrement unique

Les publications CVE doivent respecter un ensemble d’éléments standardisés. Leur lecture est aisée dès lors que l’on connaît la fonction de chaque partie :

• Identifiant : le numéro unique CVE-AAAA-NNNNN
• Description : explication concise de la vulnérabilité : en quoi elle consiste et comment un acteur malveillant pourrait l’exploiter.
• Produits et versions concernés : quels logiciels, matériels ou micrologiciels (et quelles versions) sont affectés, et quelles versions intègrent le correctif.
• Niveau de gravité : la catégorie de gravité sous-jacente.
• Références, liens vers l’avis du fournisseur, le correctif et les documents techniques.

Les acteurs secondaires : CVSS, CWE, EPSS et KEV

Quatre systèmes complémentaires permettent de déterminer si un CVE doit constituer une priorité pour l’entreprise. Il est facile de les confondre ; il est donc important de bien les distinguer les uns des autres :

• Le CVSS (Common Vulnerability Scoring System) répond à la question « Quelle est la gravité de cette faille ? ». Le CVSS correspond à la note de gravité (sur une échelle de 1 à 10, 10 étant la plus grave) attribuée à la faille, et non à une évaluation de votre exposition spécifique.
• L’EPSS (Exploit Prediction Scoring System) répond à la question suivante : « Quelle est la probabilité que cette vulnérabilité soit exploitée prochainement ? » L’EPSS génère un score de probabilité, compris entre 0 et 100 %, qui estime la probabilité qu’une vulnérabilité soit exploitée au cours des 30 prochains jours.
• Le CWE (Common Weakness Enumeration) répond à la question « Quel type d’erreur en est à l’origine ? ». Le CWE classe la faille de codage sous-jacente.
• Le KEV (Known Exploited Vulnerabilities, ou « vulnérabilités connues exploitées ») répond à la question suivante : « Cette vulnérabilité est-elle actuellement exploitée à l’encontre d’utilisateurs ? » Le catalogue KEV est une liste triée sur le volet de CVE dont l’exploitation dans le monde réel a été confirmée.

Un score CVSS élevé indique le degré de gravité d’une vulnérabilité, un score EPSS élevé indique la rapidité avec laquelle elle est susceptible d’être exploitée, et sa présence dans le catalogue KEV confirme qu’elle fait déjà l’objet d’une exploitation. Les meilleurs programmes de gestion des vulnérabilités prennent en compte ces trois critères.

FAQ

Q : Qu’est-ce qu’un CVE, et pourquoi est-ce important ? R : Un identifiant CVE (Common Vulnerability and Exposure) est un identifiant normalisé attribué à une vulnérabilité logicielle rendue publique. Il permet à tous – des éditeurs et chercheurs aux autorités de régulation et aux clients – de faire référence à la même vulnérabilité sans ambiguïté.

Q : Quelles informations un enregistrement CVE bien structuré doit-il contenir ?
R : Un enregistrement CVE complet doit comporter un identifiant unique, une description de la vulnérabilité, les produits et versions concernés, le niveau de gravité, ainsi que des références aux avis de sécurité ou aux correctifs des éditeurs. Ces éléments permettent aux organisations de comprendre leur exposition au risque et d’y répondre efficacement.

Q : En quoi le CVSS, le CWE, l’EPSS et le KEV diffèrent-ils d’un CVE ? R : Un CVE identifie une vulnérabilité spécifique, tandis que le CVSS en mesure la gravité, l’EPSS estime la probabilité d’une exploitation à court terme, le CWE classe la faille de codage sous-jacente et le KEV identifie les vulnérabilités activement exploitées dans le monde réel. Ensemble, ces référentiels contribuent à fournir le contexte nécessaire pour hiérarchiser les mesures correctives.

Q : Quels sont les critères pris en compte par Commvault dans ses propres pratiques de communication d’informations ? R : Commvault applique à ses propres communications les mêmes critères qu’elle attend des autres : transparence, régularité et clarté. C’est ainsi que Commvault protège ses clients.

Q : Quels sont les éléments que les dirigeants d’entreprise doivent prendre en compte lorsqu’ils évaluent les pratiques des fournisseurs en matière de gestion des vulnérabilités ? R : Les dirigeants doivent s’assurer que les fournisseurs disposent de calendriers de divulgation coordonnés, de registres CVE complets et précis, de consignes de correction claires, de programmes de reporting solides, ainsi que de la capacité à déterminer rapidement si leurs produits sont affectés par des vulnérabilités récemment divulguées. Ces caractéristiques témoignent d’une culture de sécurité forte et renforcent la résilience de l’organisation. Werner Nel est responsable principal de l’expérience produit chez Commvault.