L'Enisa lance une base de données européenne sur les vulnérabilités

Au-delà du programme CVE du Mitre

Le lancement de l'EUVD intervient quelques semaines seulement après que la communauté de la sécurité a été ébranlée par l'expérience de mort imminente du programme CVE du Mitre, une ressource soutenue et financée par le gouvernement américain qui, au cours des deux dernières décennies, est devenue une référence dans le monde de la sécurité.

Bien que le financement du Mitre ait finalement été rétabli à la dernière minute par les autorités américaines, les 24 heures d'incertitude ont donné lieu à une réflexion approfondie et de nombreux professionnels de la cybersécurité ont commencé à envisager ou à discuter de l'idée d'alternatives à un programme qui est en fin de compte soutenu par un seul gouvernement.

Bien que l'EUVD ne soit pas conçu pour remplacer le programme américain, l'Enisa a indiqué qu'elle avait travaillé avec le Mitre sur son développement et qu'elle continuait à travailler avec l'organisme à but non lucratif pour comprendre l'impact de la crise financière sur le projet EUVD.

Pour l'instant, les données sur les vulnérabilités et expositions communes (CVE), les données fournies par ceux qui divulguent les vulnérabilités et d'autres sources telles que le catalogue des vulnérabilités exploitées connues de la Cybersecurity and Infrastructure Security Agency (CISA) seront automatiquement transposées dans l'EUVD avec l'aide des CSIRT des États membres de l'UE.

Par exemple, la CVE-2025-31324, une vulnérabilité critique et activement exploitée affectant le composant Visual Composer de SAP NetWeaver apparaît dans l'EUVD avec la désignation EUVD-2025-14349.

Sylvain Cortes, vice-président chargé de la stratégie chez Hackuity, voit d'un bon oeil l'arrivée de l'EUVD : « l'EUVD de l'Enisa est une bonne initiative si l'on considère les récents problèmes de financement du programme CVE de Mitre ».

Car, relève-t-il, « l'incertitude demeure quant à la pérennité de la base de données du Mitre après l'expiration du nouveau contrat dans dix mois, de sorte que l'existence d'une option européenne permet au secteur d'être moins dépendant d'une seule source d'enrichissement des vulnérabilités. Il s'agit d'une alternative encore plus importante si l'on considère que la NVD [National Vulnerability Database (base de données nationale sur les vulnérabilités) des États-Unis] a souffert de retards dans le passé ».

Crystal Morin, stratège en cybersécurité chez Sysdig, s'est également félicitée de ce lancement, qui s'inscrit dans le cadre des efforts déployés pour renforcer la cybersécurité mondiale dans un avenir incertain. Elle espère que l'EUVD viendra compléter le programme CVE : « le fait que les deux soient en jeu signifie que davantage d'organisations traitent les demandes de CVE et, en fin de compte, que la divulgation d'informations au public est plus rapide ».

Crystal Morin estime ainsi que, « pour les équipes de sécurité, l'EUVD est simplement une autre source fiable de renseignements sur les vulnérabilités. Tant que les soumissions de vulnérabilités sont rationalisées, c'est-à-dire soumises à un seul programme, nous évitons les doublons et la confusion, et nous gagnons en rapidité et en résilience ».