Comprendre les vulnérabilités, sans jargon
Quatre sigles suffisent à trier n'importe quelle alerte de sécurité. La CVE dit de quelle faille on parle. Le CVSS dit quels dégâts elle ferait. L'EPSS dit quelle probabilité elle a d'être exploitée. Le KEV dit si elle l'est déjà. Du plus théorique au plus certain.
Vous recevez un vendredi soir une alerte « CVSS 9.8, critique ». Faut-il annuler le week-end ? Ces quatre guides donnent de quoi trancher en trente secondes — et de quoi défendre la décision en réunion le lundi.
Par où commencer : l'ordre de lecture
Lisez-les dans cet ordre. Chacun suppose le précédent, aucun ne dépasse huit minutes.
- La CVE d'abord, parce que c'est le numéro auquel tout le reste s'accroche. Sans lui, deux outils ne parlent pas de la même faille.
- Le CVSS ensuite, parce que c'est le chiffre que vous verrez partout — et celui qu'on interprète le plus souvent de travers.
- L'EPSS en troisième, parce qu'il corrige la faiblesse principale du CVSS : la gravité n'est pas la probabilité.
- Le KEV en dernier, parce que c'est le seul des quatre qui ne prédit rien : il constate. Une fois qu'on l'a compris, la priorisation devient simple.
Les quatre référentiels, côte à côte
Voilà le tableau qui débloque tout : ces quatre référentiels ne répondent pas à la même question, ne sont pas publiés par les mêmes organisations et ne vieillissent pas au même rythme.
| Référentiel | Question à laquelle il répond | Nature de la réponse | Qui le publie | Évolue ? |
|---|---|---|---|---|
| CVE | De quelle faille parle-t-on ? | Un identifiant | Le programme CVE (MITRE), via les CNA | Son état, jamais son numéro |
| CVSS | Quels dégâts si elle est exploitée ? | Un score de 0 à 10 | Le FIRST, appliqué par le NVD et les CNA | Non, pour le score de base |
| EPSS | Quelle probabilité qu'elle le soit sous 30 jours ? | Une probabilité de 0 à 1 | Le FIRST | Oui, recalculé chaque jour |
| KEV | Est-elle exploitée en ce moment ? | Un fait observé : oui ou non | La CISA | Oui, par ajouts successifs |
Ce que vous saurez faire après
- Lire un vecteur CVSS champ par champ et dire à voix haute ce qu'il décrit.
- Distinguer le score EPSS (une probabilité) de son percentile (un classement) — la confusion la plus fréquente sur ce référentiel.
- Expliquer en une phrase pourquoi telle CVE de votre parc passe devant telle autre.
- Repérer une alerte inexploitable : une CVE sans version affectée ne peut être rapprochée d'aucun inventaire, par aucun outil.
Les référentiels autour des CVE
Les quatre bases acquises, trois nomenclatures complètent le tableau : la CWE nomme le type de défaut derrière la faille, le CAPEC décrit comment on l'exploite, et les CNA sont les organisations qui attribuent les identifiants — donc qui décident, en pratique, de la qualité de vos alertes. Nos sources de données détaillent les flux que nous recoupons.