C’est quoi une CVE ? Lire une alerte de sécurité WordPress

C’est quoi une CVE ? Une étiquette commune pour chaque faille

CVE signifie « Common Vulnerabilities and Exposures ». Le programme CVE a pour mission d’identifier, de définir et de cataloguer les failles de sécurité rendues publiques. Chaque faille reçoit un identifiant unique, qui permet à tout le monde de parler de la même chose.

Un identifiant se présente sous la forme CVE-année-numéro, par exemple CVE-2026-12345. L’année est celle de l’attribution du numéro, pas forcément celle de la découverte de la faille.

Ce que le numéro ne dit pas

Le numéro lui-même ne dit rien de la gravité. Pour cela, il faut regarder le score CVSS associé, et surtout savoir si la faille touche une extension que vous utilisez, dans une version que vous avez installée.

Toutes les failles de WordPress n’ont pas de numéro CVE : l’annonce de la version 7.1.3, par exemple, n’en mentionne aucun.

Les quatre questions à se poser

• Est-ce que j’utilise ce logiciel (cœur, extension ou thème) ?
• Quelle version suis-je concerné, et quelle version corrige la faille ?
• Quelle est la gravité (score CVSS) et faut-il être connecté pour l’exploiter ?
• La faille est-elle déjà exploitée ? Le catalogue KEV de la CISA le signale.

Où trouver les détails

La fiche officielle se trouve sur cve.org, et la base NVD du NIST en propose une version enrichie. Pour WordPress, la base de failles de Patchstack précise les versions touchées.

Questions fréquentes

Sources

Pour aller plus loin

Ce résumé est rédigé par FK Design à partir des sources ci-dessous, qui restent la référence. Sources consultées le 12 octobre 2026. Merci de les consulter pour le détail technique.

• Programme CVE (CVE)
• National Vulnerability Database (NIST)
• Base de failles Patchstack (Patchstack)
• Catalogue des vulnérabilités exploitées (KEV) (CISA)
• WordPress 7.1.3 Maintenance and Security Release (WordPress.org) : exemple d’une annonce sans numéro CVE.