Ce qu’implique la publication d’une CVE
Une CVE est publique par nature. Sa publication décrit la faille, les versions concernées et souvent la manière de l'exploiter. C'est ce qui permet aux équipes de se protéger — et c'est aussi ce qui donne aux attaquants une liste de cibles. Les scans automatisés qui parcourent le web cherchent précisément les versions vulnérables recensées.
Le délai qui compte
Le risque ne se joue pas au moment de la découverte de la faille mais dans les jours qui suivent sa publication. Les campagnes d'exploitation démarrent souvent moins de 48 heures après la parution, parce que le correctif publié révèle en creux la vulnérabilité. Un site mis à jour dans la semaine reste exposé pendant toute cette fenêtre.
PrestaShop et WordPress
Le cœur des deux CMS est plutôt bien tenu ; l'essentiel des CVE concerne les modules et extensions tiers. Pour PrestaShop, Friends-of-Presta recense les vulnérabilités des modules de l'écosystème. Pour WordPress, Wordfence et le WPScan Vulnerability Database font référence. Un module abandonné par son auteur ne recevra jamais de correctif : la seule option reste de le remplacer.
Questions fréquentes
Une CVE signifie-t-elle que mon site est piraté ?
Non. Elle signale que le composant installé comporte une faille connue et donc exploitable. Le site n'est pas nécessairement compromis, mais il est exposé tant que le correctif n'est pas appliqué.
Que faire si le module vulnérable n'est plus maintenu ?
Aucune mise à jour n'arrivera. Il faut le remplacer par une alternative maintenue, ou faire corriger le code par un développeur — laisser le module en place revient à conserver une porte ouverte documentée publiquement.