Qu'est-ce qu'une CVE ? Numéros CVE et scores CVSS expliqués

WindowsMacMis à jour 2026-10-31

Une CVE est un numéro de référence public pour une faille de sécurité rendue publique, comme CVE-2026-109618, l'une des deux failles de PHP connues sous le nom de PHP2Shell. Le programme CVE définit un identifiant CVE comme une chaîne alphanumérique qui identifie une vulnérabilité rendue publique. Le score CVSS est autre chose : une note de gravité de cette faille, de 0 à 10. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Une CVE est un identifiant unique pour une faille de sécurité rendue publique, pour que tout le monde parle du même problème. Le CVSS est un système de notation qui évalue la gravité de la faille de 0,0 à 10,0. À partir de 9,0, la gravité est dite critique : le 9,2 attribué aux deux failles PHP2Shell est donc critique.

Qu'est-ce qu'une CVE ?

CVE signifie Common Vulnerabilities and Exposures. Le programme CVE indique que sa mission est d'identifier, de définir et de cataloguer les vulnérabilités de cybersécurité rendues publiques, et qu'il existe une fiche CVE pour chaque vulnérabilité du catalogue. Sa FAQ précise que l'identifiant CVE est la partie numérique de la fiche, au format CVE-AAAA-NNNN.

Le numéro sert à s'assurer que tout le monde, personnes et outils, parle de la même faille. L'alerte du CERT-FR sur PHP, par exemple, renvoie pour chaque faille à sa fiche sur cve.org. Quand le CERT-FR, l'agence américaine CISA et le projet PHP citent CVE-2026-109619, ils parlent tous du même défaut.

Qui attribue un numéro CVE à une faille ?

Un organisme appelé CNA, pour CVE Numbering Authority. Le programme CVE le définit comme une entité autorisée à attribuer des identifiants CVE et à publier les fiches correspondantes, dans son propre périmètre.

Pour PHP2Shell, le CNA était le projet PHP lui-même. Les fiches CVE officielles des deux failles le désignent comme attributaire, et montrent qu'il a réservé les deux identifiants le 12 octobre 2026 et publié les fiches le 21 octobre, le jour de la sortie des correctifs.

Un numéro CVE dit-il si une faille est grave ?

Non. Le numéro n'est qu'un identifiant. La FAQ du programme CVE indique que le format des fiches permet aux CNA d'y inclure un score CVSS ou une autre note de gravité au moment de la publication. La note vient donc de celui qui l'écrit, et c'est là qu'intervient le CVSS. L'alerte du CERT-FR sur PHP, elle, décrit le risque, une « exécution de code arbitraire à distance », sans donner de score.

Qu'est-ce que le CVSS ?

Le CVSS, Common Vulnerability Scoring System, appartient au FIRST, qui le gère. Sa spécification décrit le FIRST comme une organisation à but non lucratif basée aux États-Unis, dont la mission est d'aider les équipes de réponse aux incidents de sécurité du monde entier. La spécification de la version 4.0 explique que le CVSS saisit les principales caractéristiques techniques des vulnérabilités et produit des scores numériques qui indiquent la gravité d'une vulnérabilité par rapport aux autres.

Le chiffre mis en avant est en général le score de base, de 0,0 à 10,0. Il est accompagné d'un vecteur, un code court qui enregistre chaque choix derrière la note. Pour les deux failles PHP2Shell, il se lit ainsi : CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. AV:N signifie que la faille est attaquable par le réseau, PR:N qu'aucune connexion n'est nécessaire, et VC:H, VI:H et VA:H que l'impact sur le système vulnérable est élevé. Le FIRST exige de quiconque publie un score CVSS qu'il donne aussi le vecteur, pour que chacun voie comment la note a été obtenue.

Notre guide sur l'exécution de code à distance explique ce que ces niveaux d'impact veulent dire en pratique.

Que signifie un score CVSS de 9,2 ?

Critique. La spécification du FIRST fait correspondre chaque score à un niveau de gravité, et la base nationale des vulnérabilités américaine, la NVD, utilise les mêmes tranches :

Aucune (None) : 0,0
Faible (Low) : de 0,1 à 3,9
Moyenne (Medium) : de 4,0 à 6,9
Élevée (High) : de 7,0 à 8,9
Critique (Critical) : de 9,0 à 10,0

Le projet PHP a noté les deux failles PHP2Shell, CVE-2026-109618 et CVE-2026-109619, à 9,2 selon le CVSS v4.0, ce qui les place dans la tranche critique. Le FIRST indique que ces niveaux aident les organisations à évaluer correctement et à hiérarchiser leur gestion des vulnérabilités.

Pourquoi le score ne dit-il pas tout ?

Parce que le score de base mesure la gravité d'une faille, pas le risque qu'elle représente pour vous. La NVD l'écrit sans détour : le CVSS n'est pas une mesure du risque. Le guide d'utilisation du FIRST précise que les scores de base sont conçus pour mesurer la gravité d'une vulnérabilité et ne doivent pas servir seuls à évaluer le risque.

Le CVSS v4.0 a d'autres groupes de mesures pour cela. Les mesures de menace ajustent la note selon, par exemple, l'existence d'une preuve de concept ou d'une exploitation active, et les mesures d'environnement reflètent les systèmes propres à une organisation. Le FIRST indique que ces informations ne sont connues que des organisations qui utilisent le logiciel, et qu'elles doivent les ajouter aux mesures de base pour obtenir une note qui leur est propre. La NVD indique qu'elle ne fournit que des évaluations des mesures de base.

Reste la question de qui a noté. Pour PHP2Shell, trois sources officielles donnent des chiffres différents :

Le projet PHP : 9,2, critique, pour les deux failles, selon le CVSS v4.0.
L'évaluation propre de la NVD selon le CVSS v3.1 : 9,8, critique, pour CVE-2026-109618, et 8,1, élevée, pour CVE-2026-109619. Au 23 octobre 2026, la NVD n'affiche aucune évaluation v4.0 de sa part.
L'avis Synology-SA-26:14 de Synology : un score de base CVSS3 de 9,8, critique, pour les deux failles.

Les vecteurs montrent où ils divergent. Pour CVE-2026-109619, la NVD indique une complexité d'attaque élevée et Synology une complexité faible. Aucun des trois ne classe l'une ou l'autre faille sous le niveau élevé, et le conseil du projet PHP pour les deux est de mettre à jour.

Autres questions

Que signifie CVE ?

Common Vulnerabilities and Exposures. Le programme CVE, qui tient la liste, se présente sur son site comme un effort international et communautaire pour identifier et cataloguer les vulnérabilités rendues publiques.

Une faille critique est-elle une urgence pour moi ?

Seulement si vous utilisez le logiciel touché. Une note critique décrit la faille, et la NVD rappelle que le CVSS n'est pas une mesure du risque. Pour PHP2Shell, cela concerne les personnes qui gèrent des sites ou des appareils qui utilisent PHP. Notre guide pour vérifier la version de PHP de votre site montre où regarder.

Quelle différence entre CVSS 3.1 et 4.0 ?

La NVD indique que le CVSS v3.x a trois groupes de mesures (base, temporel et environnement), et le v4.0 quatre (base, menace, environnement et supplémentaire). Les tranches de gravité faible, moyenne, élevée et critique sont les mêmes dans les deux versions.

Où chercher un numéro CVE ?

Sur cve.org, qui héberge les fiches CVE officielles, et sur le site de la NVD, nvd.nist.gov. La NVD indique qu'elle enrichit toutes les fiches CVE publiées avec des données CVSS, et ses pages montrent les notes de la NVD comme celles du CNA. Les alertes du CERT-FR renvoient aussi aux fiches CVE des failles qu'elles traitent.

Une CVE, est-ce la même chose qu'une vulnérabilité ?

Pas tout à fait. La vulnérabilité est la faille elle-même, et l'identifiant CVE est son étiquette. Notre guide qu'est-ce qu'une vulnérabilité ? traite de la faille.