Calculateur CVSS
Cochez les métriques, obtenez le vecteur, le score et la sévérité — puis la phrase en français qui dit ce que ce score raconte. Quatre versions : 4.0, 3.1, 3.0 et 2.0.
Un vecteur, pas un chiffre
Le score seul ne se discute pas : il tombe d’en haut et personne ne sait d’où. Le vecteur, lui, se vérifie champ par champ. C’est la chaîne qui précède le chiffre :
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Elle se lit de gauche à droite comme une phrase : attaquable depuis Internet, sans difficulté, sans compte, sans clic de la victime, et la faille déborde du composant vulnérable en emportant la lecture, l’écriture et la disponibilité. C’est Log4Shell, et cela fait 10.0. Le calculateur ci-dessus écrit cette traduction sous le score, à chaque clic.
Gardez le réflexe : dans un ticket, un rapport ou un échange avec un éditeur, citez le vecteur. Le chiffre sans le vecteur n’est pas une information, c’est une opinion.
Quelle version choisir
La règle tient en une ligne : utilisez la version que publie votre source. Le préfixe du vecteur la donne toujours. Si vous notez une faille vous-même et que rien ne vous contraint, prenez le 3.1 : c’est celle que tous vos interlocuteurs savent relire.
| Version | Publiée | À utiliser quand |
|---|---|---|
| 4.0 | 2023 | La fiche porte un vecteur CVSS:4.0/. De plus en plus d’éditeurs le publient en parallèle du 3.1. |
| 3.1 | 2019 | Par défaut. C’est la version du NVD et de la quasi-totalité des CVE en circulation. |
| 3.0 | 2015 | Vous reproduisez un score daté de 2015 à 2019. Les métriques sont celles du 3.1. |
| 2.0 | 2007 | Vous relisez une fiche antérieure à 2016. Trois bandes de sévérité seulement. |
Le score obtenu, et après
Le CVSS répond à une seule question : quelle casse si cette faille est exploitée ? Il n’a jamais prétendu répondre aux deux autres, qui décident pourtant de l’ordre des correctifs : est-elle exploitée aujourd’hui ? et quelle probabilité qu’elle le soit demain ?
| Référentiel | Ce qu'il indique | Nature |
|---|---|---|
| CVE | Quelle vulnérabilité (identifiant unique) | Identification |
| CVSS | À quel point elle est grave (0 à 10) | Gravité intrinsèque |
| EPSS | Probabilité d'exploitation à 30 jours | Prédiction |
| KEV | Exploitation déjà observée dans la nature | Fait avéré |
Dans la pratique, l’ordre qui tient une semaine de travail est celui-ci : ce qui figure au catalogue KEV et tourne dans votre parc se traite en premier ; ensuite ce qui dépasse un EPSS de 0,1 ; le CVSS sert à départager deux failles également probables. Voir comment se construit une veille CVE ciblée sur votre parc.
Les quatre calculateurs
Questions fréquentes
Quelle version de CVSS dois-je utiliser ?
Celle que publie votre source. Si la fiche porte un vecteur commençant par CVSS:4.0/, prenez le 4.0 ; par CVSS:3.1/, prenez le 3.1. Si rien n’est précisé et que vous notez une faille vous-même, prenez le 3.1 : c’est la version que savent relire tous vos interlocuteurs.
Qu’est-ce qu’un vecteur CVSS ?
C’est la liste des choix qui ont produit le score, écrite sous une forme reproductible : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Le chiffre seul ne se discute pas ; le vecteur, si. C’est lui qu’il faut citer dans un ticket, un rapport ou un échange avec un éditeur.
Le calcul se fait-il sur vos serveurs ?
Non. Tout s’exécute dans votre navigateur : le vecteur que vous construisez n’est envoyé nulle part, et aucune inscription n’est demandée. Le bouton « Copier le lien » encode simplement le vecteur dans l’adresse de la page.
Un score élevé signifie-t-il qu’il faut corriger en urgence ?
Non. Le CVSS mesure le dégât potentiel, pas la probabilité d’exploitation. Une faille notée 7.5 déjà exploitée passe avant une faille notée 9.8 que personne n’attaque. Pour trancher, croisez avec l’EPSS et le catalogue KEV.
Puis-je partager un score calculé ici ?
Oui. Le bouton « Copier le lien » produit une adresse qui rouvre le calculateur exactement sur votre vecteur : collez-la dans un ticket, votre interlocuteur verra les mêmes cases cochées que vous.
Un score dit la gravité, pas si vous êtes concerné
TechWatchAlert rapproche chaque CVE de votre inventaire réel et classe d'abord ce qui est exploité.
Offre Free sans carte bancaire · hébergé en France