C'est quoi une CVE ?
CVE signifie Common Vulnerabilities and Exposures. C'est un système international d'identification des failles de sécurité informatique. Chaque vulnérabilité découverte reçoit un identifiant unique au format :
CVE-ANNÉE-NUMÉRO
Exemple : CVE-2024-12345
Ce système est géré par le MITRE, une organisation américaine à but non lucratif, et sert de référence mondiale pour que tout le monde parle de la même faille avec le même identifiant.
Pourquoi c'est important ?
Quand le CERT-FR publie une alerte mentionnant CVE-2024-21351, tous les professionnels de la sécurité dans le monde savent exactement de quelle faille il s'agit. C'est un langage commun indispensable.
Le score CVSS
Chaque CVE reçoit un score CVSS (Common Vulnerability Scoring System) de 0 à 10 :
| Score | Sévérité | Exemple |
|---|---|---|
| 0.0 - 3.9 | Faible | Bug mineur sans impact réel |
| 4.0 - 6.9 | Moyenne | Faille exploitable sous conditions |
| 7.0 - 8.9 | Élevée | Faille permettant un accès non autorisé |
| 9.0 - 10.0 | Critique | Exécution de code à distance sans authentification |
Les CVE qui ont marqué l'histoire
Log4Shell (CVE-2021-44228) — Score 10.0
Découverte en décembre 2021, cette faille dans la bibliothèque Java Log4j a touché des millions de serveurs dans le monde. Elle permettait d'exécuter du code arbitraire à distance simplement en envoyant une chaîne de texte spécifique.
EternalBlue (CVE-2017-0144) — Score 8.1
Cette vulnérabilité Windows a été exploitée par le ransomware WannaCry en 2017, paralysant des hôpitaux, entreprises et administrations dans 150 pays.
Heartbleed (CVE-2014-0160) — Score 7.5
Un bug dans OpenSSL qui permettait de lire la mémoire des serveurs web, exposant potentiellement des mots de passe et des clés de chiffrement.
Comment se protéger ?
- Mettez à jour vos logiciels dès qu'un correctif est disponible
- Suivez les alertes CERT-FR (ou utilisez Décodeur Cyber !)
- Priorisez les CVE avec un score CVSS ≥ 7.0
- Automatisez les mises à jour quand c'est possible
- Scannez régulièrement vos systèmes avec des outils comme Nessus ou OpenVAS
Comment lire les alertes Décodeur Cyber ?
Sur Décodeur Cyber, chaque alerte traduit les CVE en langage clair. Quand vous voyez une sévérité "Critique", cela correspond généralement à des CVE avec un score CVSS ≥ 9.0. Les alertes "Élevées" couvrent les scores entre 7.0 et 8.9.
Notre objectif : vous permettre de comprendre ce qui vous concerne sans avoir à décrypter le jargon technique.
Sources : MITRE CVE, NVD (NIST), CERT-FR