CVE
Définition courte
Une CVE (Common Vulnerabilities and Exposures, « vulnérabilités et expositions communes ») est l'identifiant unique d'une faille de sécurité connue publiquement, sous la forme CVE-année-numéro, par exemple CVE-2026-98432.
Langage normal
Quand une faille est découverte dans un logiciel (PHP, le noyau Linux, un plugin WordPress…), on lui attribue un numéro CVE. Ce numéro permet à tout le monde, éditeurs, hébergeurs, administrateurs, de parler de la même faille sans ambiguïté.
Une CVE s'accompagne en général :
- d'une description de la faille et des versions touchées ;
- d'un score de gravité CVSS, de 0 à 10 (au-dessus de 9, la faille est dite critique) ;
- de liens vers les correctifs publiés par les éditeurs.
Langage pédagogique
Pensez aux rappels de produits dans la grande distribution. Chaque lot défectueux a un numéro : le fabricant, le magasin et le client savent exactement de quel produit on parle et quoi faire. La CVE, c'est le numéro de lot des failles informatiques.
Importance des CVE
Sans identifiant commun, impossible de savoir si le correctif installé par votre hébergeur couvre bien la faille dont parle la presse. Avec un numéro CVE, la question devient simple : ma version est-elle corrigée pour cette CVE ?
Aux États-Unis, l'agence de cybersécurité CISA tient aussi un catalogue des failles activement exploitées (KEV, Known Exploited Vulnerabilities). Une CVE qui y entre doit être corrigée en priorité.
Exemples concrets (automne 2026)
- CVE-2026-109618 et CVE-2026-109619 : les failles « PHP2Shell », exploitées par des attaquants fin octobre 2026. Voir quelle version de PHP choisir pour WordPress en 2026.
- CVE-2026-98432 : une faille critique dans le code réseau du noyau Linux. Voir la fiche Kernel.
- CVE-2026-109518 : une faille du gestionnaire de paquets APT. Voir la fiche Debian.
Maillage interne — Articles complémentaires
Articles pertinents
- Google Dorking : notions de base : ce que Google montre parfois des failles d'un site
- WordPress : les secrets du fichier wp-config.php
Pages de prestations
FAQ
Une CVE veut-elle dire que mon site est piraté ?
Non. Une CVE signale qu'une faille existe dans une version d'un logiciel. Votre site n'est exposé que s'il utilise cette version sans correctif, et dans la configuration concernée.
Comment savoir si je suis concerné ?
Comparez la version exacte de vos logiciels (PHP, noyau, CMS, plugins) aux versions corrigées indiquées dans l'avis de sécurité de l'éditeur. Votre hébergeur doit pouvoir vous répondre.
Que signifie un score CVSS de 9,8 ?
Que la faille est critique : en général exploitable à distance, sans compte, avec des conséquences graves. C'est une mise à jour à faire tout de suite.
Références
- Programme CVE : https://www.cve.org/
- Catalogue KEV de la CISA : https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Dernière révision : 2026-11-07 — création de la fiche.