La CVE a donné à chaque faille logicielle un identifiant public unique, et toute l'industrie de la sécurité le parle

À la fin des années 1990, chaque outil de sécurité avait ses propres noms pour les mêmes défauts, si bien qu'une alerte d'un scanner ne pouvait pas être corrélée avec un avis d'un fournisseur ou une entrée de base de données d'un autre produit. Les informations sur une vulnérabilité étaient dispersées sous des libellés incompatibles.

David Mann et Steven Christey, du MITRE, ont proposé une solution dans un livre blanc, « Towards a Common Enumeration of Vulnerabilities », présenté lors d'un atelier à Purdue en janvier 1999. Un groupe de travail — devenu par la suite le CVE Editorial Board de 19 membres — a créé les 321 premières entrées CVE, et la liste a été officiellement lancée en septembre 1999.

La démarche constituait une couche de nommage, non un monopole sur le contenu : la CVE est délibérément restée neutre quant à la gravité et aux détails, laissant aux fournisseurs, aux chercheurs et aux outils leurs propres descriptions tout en partageant un identifiant unique. En décembre 2000, 29 organisations avaient déclaré 43 produits compatibles CVE.

L'adoption s'est amplifiée. La National Vulnerability Database du NIST est construite autour des entrées CVE ; les recommandations du NIST préconisaient ce système ; l'OWASP, Symantec et la presse spécialisée citent les identifiants CVE, et l'UIT-T a adopté la CVE comme recommandation internationale (X.1520). Le nommage est devenu la langue commune de la gestion des vulnérabilités.

Un identifiant gratuit par faille ; tout le reste peut diverger

Un identifiant neutre, public et gratuit a levé l'obstacle à l'accord — personne n'a eu à abandonner sa propre base de données.

Chaque fournisseur pouvait citer le même identifiant dans un avis, donnant à l'industrie une référence croisée universelle.

Le NIST a bâti la National Vulnerability Database sur la CVE, en faisant la colonne vertébrale de la sécurité gouvernementale et d'entreprise.

Les scanners et les avis sont devenus interopérables au niveau du nommage, sans aucun format de contenu partagé.

Si l'écosystème ne parvient pas à s'accorder sur le contenu, donnez-lui une couche de nommage partagée — l'identité est l'élément le moins coûteux à normaliser et elle débloque l'interopérabilité.

La CVE est passée de 321 entrées à plus de 100 000, avec un réseau mondial de CVE Numbering Authorities qui attribuent des identifiants au nom du programme. Les défauts célèbres sont connus par leur identifiant — Heartbleed est CVE-2014-0160 — et l'identifiant apparaît dans les avis, les scanners, les correctifs et les articles de presse du monde entier.