Réponse courte
Une référence CVE, OSV ou NVD est un signal externe à vérifier. Elle ne devient pas automatiquement une vulnérabilité CRA formelle pour votre produit.
Disponibilité produit : Disponible pour distinguer, qualifier et relier points de sécurité, vulnérabilités CRA formelles, risques, actions et preuves.
Définition
La gestion CRA couvre l’identification, la documentation, le traitement, la correction et la communication des vulnérabilités pendant la période de support. Certaines situations imposent un signalement réglementaire.
Pourquoi c’est important
Un signal peut ne pas affecter la version ou la configuration du produit. À l’inverse, une vulnérabilité spécifique au produit peut ne pas disposer d’une CVE publique.
Comment CRA Manager le modélise
CRA Manager sépare les points de sécurité à vérifier (SecurityFinding) et les vulnérabilités formelles (Vulnerability). La qualification peut ensuite être liée à un risque, une action, une preuve et, si nécessaire, une déclaration ENISA.
Exemple concret
Une alerte OSV concerne une bibliothèque. L’équipe vérifie la version et l’atteignabilité, documente la conclusion, crée un risque si nécessaire et ouvre une action de mise à jour.
Limites / points d’attention
Une exploitation active ou un incident grave requiert une procédure urgente. À partir du 11 septembre 2026, les obligations de signalement de l’article 14 s’appliquent selon les conditions prévues par le règlement (UE) 2024/2847.
À retenir
Une référence CVE, OSV ou NVD est un signal à analyser ; elle ne devient pas automatiquement une vulnérabilité CRA formelle pour votre produit.
Articles liés
Article issu de la base de connaissance CRA Manager.
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article