Scality devient autorité de numérotation CVE (CNA) sous l'égide de l'ENISA

PARIS – 10 novembre 2026 – Scality, leader mondial des logiciels d'infrastructure de données pour le stockage à grande échelle à l'ère de l'IA, rejoint le programme international Common Vulnerabilities and Exposures (CVE™) en tant qu'autorité de numérotation (CVE Numbering Authority, CNA), sous la Root opérée par l'Agence de l'Union européenne pour la cybersécurité (ENISA). Ce statut permet à Scality d'attribuer directement des identifiants CVE (CVE IDs) et de publier les enregistrements correspondants (CVE Records) pour les vulnérabilités découvertes dans ses propres logiciels, notamment Scality RING, Scality ARTESCA et Scality ADI.

Scality est devenue CNA le 21 juillet 2026, rejoignant un nombre croissant de CNA européennes.

Les obligations de signalement du Cyber Resilience Act (CRA) de l'Union européenne sont entrées en vigueur le 11 septembre 2026. En vertu du CRA, les fabricants de produits comportant des éléments numériques mis sur le marché européen doivent notifier aux autorités les vulnérabilités activement exploitées et les incidents graves, à commencer par une alerte précoce dans un délai de 24 heures.

L'information sur les vulnérabilités, directement à la source

Les équipes de sécurité des entreprises suivent et priorisent les vulnérabilités par identifiant CVE. Leurs scanners, systèmes d' outils de gestion des incidents et processus de correctifs reposent sur ces enregistrements. Les clients de Scality ont expressément demandé une couverture CVE des logiciels Scality. En tant que CNA, Scality maîtrise désormais ce processus de bout en bout : elle valide la vulnérabilité signalée, attribue l'identifiant CVE et publie l'enregistrement CVE correspondant, avec les versions concernées et les recommandations de remédiation, en coordination avec la publication d'un correctif.

« Nos clients utilisent les solutions Scality dans certains des environnements les plus réglementés au monde, et leurs équipes de sécurité ont été claires sur leurs attentes : une information sur les vulnérabilités fournie par l'éditeur, dans le format que leurs outils utilisent déjà », déclare Anh Nguyen-Phuoc, Chief Information Security Officer (RSSI) de Scality. « Devenir CNA signifie que lorsqu'une vulnérabilité est détectée dans un logiciel Scality, elle reçoit son identifiant CVE et son enregistrement CVE public de la part de ceux qui connaissent le mieux le code, au moment même où le correctif est prêt. Cela nous permet aussi de prendre part à la communauté qui fait fonctionner le système CVE, et nous sommes heureux de le faire sous l'égide de la Root de l'ENISA. »

Un programme global de sécurité et de conformité

Le statut de CNA s'appuie sur les pratiques de sécurité qui sous-tendent les produits Scality. Scality opère un système de management de la sécurité de l'information certifié ISO 27001. Scality RING, Scality ARTESCA et Scality ADI reposent sur CORE5, les cinq niveaux de cyber-résilience de Scality, de l'API à l'architecture. Scality publie également une nomenclature logicielle (SBOM) à chaque version d'ARTESCA et respecte son calendrier de mise en conformité avec le CRA.

« En tant qu'éditeur européen, nous avons une responsabilité particulière : contribuer à la souveraineté numérique de l'Europe, y compris dans la manière dont les vulnérabilités sont identifiées et partagées », déclare Jérôme Lecat, CEO et cofondateur de Scality. « Rejoindre le programme CVE sous l'égide de l'ENISA, au moment où le Cyber Resilience Act devient une réalité, c'est donner à nos clients publics et privés la transparence qu'ils attendent d'un fournisseur de confiance pour leurs données les plus critiques. »

Disponibilité

Les enregistrements CVE de Scality seront publiés sur CVE.org et sur la page des avis de sécurité de Scality : Security Advisories | Scality. Les chercheurs en sécurité peuvent signaler toute vulnérabilité suspectée dans les logiciels Scality via la Politique de divulgation des vulnérabilités de Scality