Signaler une vulnérabilité activement exploitée depuis Jira

Depuis le 11 septembre 2026, un fabricant qui apprend qu’une vulnérabilité de son produit est activement exploitée a 24 heures pour envoyer une alerte précoce par la plateforme unique de signalement de l’ENISA. Voici comment décider, qui reçoit le signalement, ce que contient chaque rapport, et comment mener le dossier depuis le ticket Jira où la vulnérabilité se trouve déjà.

Est-elle activement exploitée ?

Le Cyber Resilience Act (règlement (UE) 2024/2847, article 3, point 42) définit une vulnérabilité activement exploitée comme une vulnérabilité pour laquelle il existe des éléments de preuve fiables qu’un acteur malveillant l’a exploitée dans un système sans l’autorisation de son propriétaire. Un score de gravité élevé n’est pas une preuve d’exploitation, une preuve de concept non plus.

Notez quelle est la preuve, d’où elle vient et qui l’a évaluée, par exemple un client ou un CSIRT qui signale une intrusion par cette faille, ou vos propres journaux. La décision, et le moment où vous l’avez prise, font partie de votre dossier.

Qui reçoit le signalement

Vous déposez une seule notification par la plateforme unique de signalement de l’ENISA, ouverte depuis le 11 septembre 2026. Elle parvient au CSIRT désigné comme coordinateur dans l’État membre de votre établissement principal dans l’Union, et à l’ENISA en même temps (article 14, paragraphe 7). Sans établissement dans l’Union, l’article 14, paragraphe 7, fixe l’ordre à suivre : votre mandataire, puis votre importateur, puis votre distributeur, puis le pays où se trouvent le plus d’utilisateurs.

Chaque personne qui signale a besoin d’un compte EU Login personnel avec authentification multifacteur. Vérifiez qu’elle en a un avant le premier dossier ; l’ENISA demande aux fabricants de s’inscrire sur la plateforme elle-même quand ils ont quelque chose à notifier. Au lancement, la plateforme n’existe qu’en anglais.

Les trois rapports

Chaque délai court dès que vous avez connaissance de l’exploitation, pas à la fin de votre analyse. Enregistrez ce moment, et la façon dont vous l’avez appris.

1. Alerte précoce : sous 24 heures. L’existence de la vulnérabilité et, le cas échéant, les États membres où vous savez que le produit a été mis à disposition.
2. Notification de la vulnérabilité : sous 72 heures. Des informations générales sur le produit, la nature générale de l’exploitation et de la vulnérabilité, les mesures correctives ou d’atténuation prises et celles que les utilisateurs peuvent prendre, et le degré de sensibilité que vous attribuez à ces informations.
3. Rapport final : au plus tard 14 jours après qu’une mesure corrective ou d’atténuation est disponible. Une description de la vulnérabilité avec sa gravité et son impact, des informations sur l’acteur malveillant quand elles existent, et le détail de la mise à jour de sécurité ou des autres mesures correctives.

Un incident grave qui touche la sécurité de votre produit suit les mêmes étapes de 24 et 72 heures, avec un rapport final un mois après la notification : voir notre guide du signalement CRA dans Jira.

Informer vos utilisateurs

L’article 14, paragraphe 8, demande aussi d’informer les utilisateurs concernés, et le cas échéant tous les utilisateurs, de la vulnérabilité et des mesures d’atténuation ou correctives qu’ils peuvent appliquer, le cas échéant dans un format structuré et lisible par machine. Un avis de sécurité CSAF est l’un de ces formats.

Avant le premier dossier : ce qu’il faut avoir prêt

• Un SBOM pour chaque version sur le marché, pour trouver en quelques minutes les produits qui contiennent le composant.
• Les États membres où chaque produit est mis à disposition, car l’alerte précoce les demande.
• Qui signale : des comptes EU Login avec authentification multifacteur, et le CSIRT qui coordonne pour vous.
• Une règle pour décider « activement exploitée ou non », et qui la signe.
• Un seul endroit pour le dossier : le ticket où se trouve déjà la vulnérabilité, avec le moment de la prise de connaissance, chaque rapport envoyé, la référence donnée par l’ENISA et le correctif.

Pas à pas depuis Jira avec Clearlane CRA

1. Sur le ticket de la vulnérabilité, ouvrez le panneau CRA. Le paquet, le CVE et les versions touchées y sont lus, et les produits dont le SBOM contient le composant sont proposés.
2. Qualifiez le dossier avec votre signature : activement exploitée ou non, et depuis quand vous le savez. Les délais démarrent, et l’alerte précoce reprend les États membres enregistrés pour chaque produit.
3. Copiez chaque rapport préparé dans la plateforme de l’ENISA, puis enregistrez quand vous l’avez déposé et la référence reçue. L’appli ne dépose jamais rien à votre place.
4. Enregistrez le correctif, l’information des utilisateurs et l’avis de sécurité, avec un fichier CSAF joint au ticket.
5. Clôturez le dossier avec une signature et gardez le dossier de preuve PDF avec votre documentation technique.

Sources : règlement (UE) 2024/2847, articles 3, 14 et 71 (EUR-Lex) ; ENISA, FAQ de la plateforme unique de signalement. Vérifié le 13 octobre 2026.

Clearlane CRA aide les fabricants à répondre aux exigences de signalement du Cyber Resilience Act ; votre propre évaluation reste nécessaire. Voir comment fonctionne Clearlane CRA →

Suivez Clearlane sur LinkedIn