Le Common Vulnerabilities and Exposures (CVE) est bien plus qu’une simple base de données. Depuis son lancement en 1999 par la MITRE Corporation, ce système est devenu le standard mondial pour identifier, nommer et cataloguer les vulnérabilités de cybersécurité. Chaque CVE, avec son identifiant unique (comme CVE-2025-29824), permet aux professionnels de la sécurité, aux éditeurs de logiciels et aux gouvernements de parler le même langage lorsqu’il s’agit de failles de sécurité. Mais récemment, une nouvelle a secoué la communauté cyber : le financement américain du programme CVE, géré par MITRE sous contrat avec le Département de la Sécurité Intérieure (DHS), a failli être interrompu le 16 avril 2025. Bien que sauvé in extremis par une extension de 11 mois, cet épisode soulève des questions cruciales sur l’avenir de ce système vital. Quelles seraient les implications d’un arrêt définitif du CVE ? Plongeons dans cette crise pour mieux comprendre.
Sommaire de l'article
Qu’est-ce que le CVE et pourquoi est-il indispensable ?
Imaginez un monde où chaque éditeur de logiciels utilise son propre jargon pour décrire une faille de sécurité. Un cauchemar pour les équipes de cybersécurité ! Le CVE résout ce problème en attribuant un identifiant unique à chaque vulnérabilité, accompagné d’une description standardisée et de références publiques. Par exemple, une faille comme CVE-2023-48795 (l’attaque Terrapin sur SSH) est immédiatement reconnaissable et traçable à l’échelle mondiale.
Ce système est au cœur de la gestion des vulnérabilités. Les scanners de sécurité, les bases de données nationales comme le NVD (National Vulnerability Database) et les processus de correctifs des entreprises dépendent tous du CVE. Avec plus de 274 000 vulnérabilités recensées à ce jour, le CVE est une colonne vertébrale de la cybersécurité mondiale, utilisé par des géants comme Microsoft, Google ou Intel, mais aussi par les PME et les chercheurs indépendants.
La crise d’avril 2025 : un arrêt évité de justesse
Le 15 avril 2025, MITRE a annoncé que le financement du programme CVE, assuré par le DHS via l’agence CISA (Cybersecurity and Infrastructure Security Agency), ne serait pas renouvelé, menaçant une fermeture imminente dès le 16 avril. Cette nouvelle a provoqué une onde de choc. Comme l’a souligné Brian Martin, ancien membre du conseil CVE, sur LinkedIn : « Si le financement de MITRE disparaît, cela entraînera un effet en cascade immédiat qui impactera la gestion des vulnérabilités à l’échelle mondiale. »
Heureusement, dans la soirée du 15 avril, CISA a exécuté une extension de contrat de 11 mois, évitant une interruption immédiate. MITRE s’est réjoui de cette décision, remerciant la communauté pour son soutien. Parallèlement, une initiative a émergé : la création de la CVE Foundation, une organisation à but non lucratif visant à assurer l’indépendance et la pérennité du programme, libérant le CVE de sa dépendance à un unique sponsor gouvernemental.
Mais cet épisode n’est qu’un sursis. Le spectre d’un arrêt définitif plane toujours, et les implications d’une telle éventualité sont alarmantes.
Les conséquences d’un arrêt du CVE
Un arrêt du programme CVE, même temporaire, aurait des répercussions profondes sur l’écosystème de la cybersécurité. Voici les principales implications :
- Chaos dans la coordination mondiale : Sans CVE, il n’y aurait plus de langage commun pour identifier les vulnérabilités. Comme l’a noté Lukasz Olejnik, chercheur en sécurité, sur X : « La conséquence serait une rupture dans la coordination entre les vendeurs, les analystes et les systèmes de défense – personne ne serait certain de parler de la même vulnérabilité. » Cela créerait une confusion généralisée, ralentissant les réponses aux menaces.
- Dégradation des bases de données nationales : Des bases comme le NVD, qui s’appuie sur les CVE pour enrichir ses analyses, deviendraient obsolètes. Les advisories de sécurité, essentiels pour les entreprises et les gouvernements, perdraient en fiabilité.
- Retards dans les correctifs : Les éditeurs de logiciels et les fournisseurs d’équipements dépendent des CVE pour prioriser et déployer des correctifs. Sans nouveaux identifiants, les délais de réponse aux vulnérabilités augmenteraient, laissant les systèmes exposés plus longtemps. Jason Soroko de Sectigo a averti qu’un arrêt « dégraderait les bases de données nationales et retarderait les disclosures de vulnérabilités. »
- Impact sur les outils de sécurité : Les scanners de vulnérabilités, les SIEM (Security Information and Event Management) et autres outils s’appuient sur les CVE pour détecter les failles. Une interruption perturberait leur efficacité, affaiblissant les défenses des organisations.
- Risque de fragmentation : En l’absence de CVE, des systèmes concurrents pourraient émerger, créant des standards divergents. Cela irait à l’encontre de l’objectif même du CVE : un référentiel unique et universel. L’Union européenne, par exemple, a lancé l’EUVD (European Vulnerability Database), mais celle-ci reste complémentaire au CVE, pas un remplaçant.
Une dépendance problématique au financement américain
L’épisode d’avril 2025 met en lumière une faiblesse structurelle : la dépendance du CVE à un financement gouvernemental unique, celui des États-Unis. Bien que le CVE soit un bien public mondial, son fonctionnement repose sur des contrats renouvelés annuellement par le DHS. Cette situation est d’autant plus préoccupante que l’administration actuelle cherche à réduire les dépenses fédérales, mettant en péril des programmes comme le CVE.
La création de la CVE Foundation est une réponse directe à cette fragilité. En visant une gouvernance indépendante et multi-parties, elle cherche à éliminer ce « point de défaillance unique » et à garantir la neutralité du programme. Mais la transition vers ce nouveau modèle prendra du temps, et les détails restent flous.
Un symptôme d’un bouleversement plus large
L’incertitude autour du CVE n’est qu’un petit sommet de l’iceberg « américain » en mutation. Cette crise s’inscrit dans un contexte plus vaste de rétroaction induite par la nouvelle vision américaine du monde, marquée par un recentrage sur les priorités nationales et une réévaluation des engagements internationaux. L’aspect technique du CVE ne sera sans doute pas le seul impacté. On peut s’attendre à des conséquences économiques, comme des hausses de prix pour les services de cybersécurité dépendants des standards américains, ou encore à des restrictions de versioning imposées aux logiciels et outils utilisés en Europe ou dans tout pays perçu comme récalcitrant à l’« orchestre symphonique » américain. Ces évolutions pourraient accentuer les tensions géopolitiques dans le domaine cyber, obligeant l’Europe et d’autres régions à accélérer le développement de leurs propres infrastructures de sécurité.
Que peut faire la communauté cyber ?
Face à cette incertitude, la communauté cybersécurité s’organise. Par exemple, VulnCheck, une autorité de numérotation CVE (CNA), a réservé 1 000 identifiants pour 2025 afin de pallier une éventuelle interruption. Mais cette solution est temporaire et ne remplace pas la structure globale du programme.
Les entreprises et les professionnels peuvent également prendre des mesures proactives :
- Surveiller les annonces officielles : Suivez les communications de MITRE, CISA et de la CVE Foundation pour anticiper les changements.
- Renforcer les processus internes : Assurez-vous que vos outils de gestion des vulnérabilités peuvent fonctionner avec des sources alternatives, comme l’EUVD ou des bases privées.
- Soutenir la CVE Foundation : Participer à la gouvernance ou contribuer financièrement pourrait aider à sécuriser l’avenir du programme.
Conclusion : un appel à la vigilance
Le sauvetage in extremis du CVE en avril 2025 est un rappel brutal de sa vulnérabilité. Ce système, indispensable à la cybersécurité mondiale, ne peut plus reposer sur la seule bonne volonté d’un gouvernement. La création de la CVE Foundation est une lueur d’espoir, mais son succès dépendra de l’engagement de la communauté internationale.
Pour l’instant, le CVE continue de fonctionner, mais cet épisode doit servir d’électrochoc. Comme l’a résumé Satnam Narang de Tenable : « Le CVE est le langage des vulnérabilités. Sans lui, nous ne savons pas ce qui pourrait prendre sa place. » À nous, passionnés de tech et professionnels de la sécurité, de veiller à ce que ce langage ne s’éteigne pas.
