Skip to content
Contacter les Ventes Essai Gratuit Acheter Maintenant
Blog des développeurs

Prendre en main notre stratégie de sécurité : Nitro devient une autorité de numérotation CVE (CNA)

Alan Gordon

Director, IT & Security

Nous sommes heureux d’annoncer que Nitro a rejoint le programme Common Vulnerabilities and Exposures (CVE™) en tant qu’autorité de numérotation CVE (CNA) sous l’égide de l’ENISA, l’Agence de l’Union européenne pour la cybersécurité. Il s'agit d'un changement en coulisses, mais qui revêt une grande importance pour la manière dont nous gérons et communiquons les problèmes de cybersécurité liés à nos produits. Voici en quoi cela consiste, pourquoi nous avons pris cette décision et ce que cela signifie pour nos clients.

Tout d’abord, qu’est-ce qu’un CVE ?

Lorsqu’une vulnérabilité de cybersécurité est détectée dans un logiciel, il faut lui attribuer un nom qui fasse l’unanimité. C’est ce qu’est un identifiant CVE (CVE ID) : un identifiant unique, tel que CVE-2026-12345, que les éditeurs, les chercheurs, les outils de sécurité et les équipes informatiques utilisent tous pour désigner le même problème.

Si vous avez déjà consulté un scanner de vulnérabilités, lu un avis de sécurité ou appliqué un correctif à un système à la suite d’un article de presse, vous en avez probablement déjà vu un. Les identifiants CVE permettent au monde de la sécurité de garder une trace de ce qui a été découvert et de ce qui a été corrigé.

Quel est le rôle d’une CNA ?

Une autorité de numérotation CVE (CNA) est une organisation habilitée à attribuer des identifiants CVE et à publier les fiches CVE correspondantes pour les vulnérabilités relevant d’un champ d’application défini. Il existe plus de 550 CNA à travers le monde, parmi lesquelles figurent de grands éditeurs de logiciels, des entreprises de sécurité et des CSIRT nationaux.

Les CNA sont regroupées sous l’égide de « Roots », qui les recrutent, les forment, les intègrent et les accompagnent. L’ENISA est devenue une « Root » en novembre 2025 afin de renforcer la contribution de l’Europe et son alignement sur l’écosystème mondial de gestion des vulnérabilités ; plus de 20 organisations et CSIRT nationaux relèvent actuellement de son autorité. Nitro en fait désormais partie.

Notre champ d’application concerne les produits propres à Nitro. Cela signifie que nous attribuons et publions des CVE pour les vulnérabilités détectées dans les logiciels Nitro, et non pour les produits tiers.

Pourquoi avons-nous pris cette décision ?

Jusqu’à présent, lorsque nous avions besoin d’un CVE pour un problème dans un produit Nitro, nous devions en faire la demande via MITRE CNA-LR. Mais maintenant que Nitro est un CNA, nous gérons ce processus de bout en bout. Lorsqu’une vulnérabilité est confirmée, notre équipe de sécurité peut immédiatement réserver un identifiant CVE, coordonner sa publication avec la correction et rédiger elle-même la fiche CVE.

Les failles de sécurité sont une réalité pour toutes les entreprises de logiciels. Ce qui distingue les entreprises, c’est la manière dont elles les gèrent, avec transparence et responsabilité. En tant que CNA, cette responsabilité nous incombe pleinement : nous identifions la faille, nous la corrigeons et nous expliquons clairement à nos clients ce qui s’est passé et ce qu’ils doivent faire. Cela signifie également que nous faisons partie d’un réseau de CNA européens dont l’importance ne cesse de croître, aux côtés d’autres organisations qui prennent la divulgation aussi au sérieux que nous.

Ce qui change pour les clients

  • Des informations plus rapides : les CVE peuvent être publiés en même temps que nos correctifs, vous n’avez donc pas à attendre un processus distinct pour savoir ce qui a changé.

  • Des fiches plus utiles : les versions concernées, le niveau de gravité et les conseils de correction proviennent directement de l’équipe qui connaît le produit.

  • Suivi simplifié : les scanners de vulnérabilités et les outils de sécurité détectent automatiquement les enregistrements CVE, ce qui permet à votre équipe de suivre les problèmes liés à Nitro de la même manière que tous les autres éléments de votre environnement.

Quels changements pour les chercheurs en sécurité ?

Si vous découvrez une vulnérabilité dans un produit Nitro, vous travaillez désormais avec une seule et même équipe, du signalement initial à la publication du CVE. Notre programme de divulgation responsable reste inchangé : signalez-la-nous, nous la confirmerons et la corrigerons, puis nous mentionnerons votre contribution dans la fiche publiée, à l’endroit de votre choix.

Vous trouverez plus d’informations sur notre programme de divulgation responsable dans les liens ci-dessous.

En savoir plus