Le catalogue CISA KEV
Le KEV (Known Exploited Vulnerabilities, « vulnérabilités connues comme exploitées ») est le catalogue tenu par la CISA, l'agence américaine de cybersécurité, des failles dont l'exploitation est avérée dans la nature. Ce n'est ni une estimation de gravité, ni une probabilité : c'est un fait observé. Une CVE au KEV se corrige avant les autres.
Vous avez cent correctifs en retard et deux jours devant vous. Par lesquels commencer ? Le KEV est la réponse la plus courte à cette question, et la seule qui repose sur des faits plutôt que sur des modèles.
Deux images pour fixer l'idée
Le KEV est la liste des incendies déjà déclarés. Ce n'est pas une carte des risques d'incendie, ce n'est pas une météo : c'est le tableau du centre de secours, avec les adresses où ça brûle en ce moment. On n'y discute pas la probabilité, on y envoie les camions.
Le KEV est aussi un avis de rappel automobile. Tant qu'un défaut est théorique, le constructeur documente. Quand des accidents sont constatés, il rappelle — et la question n'est plus « faut-il y aller ? » mais « quand pouvez-vous passer ? ». Cette seconde image ajoute ce qui manque à la première : le rappel arrive après les premiers accidents, jamais avant.
Ce qu'est exactement le catalogue
Créé fin 2021, le catalogue KEV recense les CVE pour lesquelles il existe des preuves fiables d'exploitation active. Il dépasse aujourd'hui le millier d'entrées et s'est imposé bien au-delà des États-Unis comme la liste de priorité de référence.
Nous ne publions pas ici de décompte exact : la CISA affiche le total à jour en tête de son catalogue, qui s'allonge de quelques entrées par semaine. Un chiffre figé dans un article vieillit en quelques jours ; autant vous envoyer à la source.
Les trois critères d'inscription
Une vulnérabilité n'entre au KEV que si elle remplit les trois conditions suivantes :
- elle possède un identifiant CVE attribué ;
- il existe une preuve fiable d'exploitation active — une preuve de concept publiée ne suffit pas, il faut des attaques constatées ;
- une remédiation claire existe : correctif, mise à jour, ou consigne de retrait du produit.
Le troisième critère explique le caractère conservateur du catalogue : la CISA n'y inscrit que ce sur quoi une organisation peut réellement agir. C'est une qualité pour la priorisation, et une limite pour la détection.
Ce que contient une entrée
| Champ | Ce qu'il apporte |
|---|---|
| CVE | L'identifiant de la vulnérabilité, qui permet le rapprochement automatique avec un inventaire. |
| Éditeur et produit | Le logiciel concerné, en texte libre — à recouper avec un identifiant normalisé pour être exploitable par une machine. |
| Nom de la vulnérabilité | Un intitulé lisible, utile dans un ticket. |
| Date d'ajout | Le jour où l'exploitation a été confirmée. Comparée à la date de publication de la CVE, elle donne la fenêtre réelle. |
| Action requise et échéance | La remédiation attendue et sa date limite, contraignante pour les agences fédérales américaines. |
| Lien avec un rançongiciel | Indique si la faille est connue pour être utilisée dans des campagnes de rançongiciel. |
Un cas réel, daté : MOVEit, mai-juin 2023
Le 31 mai 2023, l'éditeur Progress publie un correctif d'urgence pour son outil de transfert de fichiers MOVEit Transfer. La faille reçoit l'identifiant CVE-2023-34362 : une injection SQL permettant d'exécuter du code à distance sans authentification.
Le 2 juin 2023, la CISA l'inscrit au catalogue KEV. Deux jours entre le correctif et la confirmation d'exploitation. Mais la chronologie complète est plus dure encore : quand le correctif sort, le groupe Cl0p exfiltre déjà des données depuis plusieurs jours. Les décomptes publics ont depuis dépassé les 2 700 organisations touchées, dont des administrations et des prestataires de paie qui n'avaient jamais entendu parler de MOVEit — leur sous-traitant, lui, l'utilisait.
Deux enseignements, réutilisables tels quels : entre la publication d'une CVE et son entrée au KEV, il s'écoule parfois moins de 48 heures ; et l'exploitation, elle, a souvent commencé avant la publication. Le KEV n'est pas une alerte précoce, c'est un signal de rattrapage — à traiter d'autant plus vite.
KEV, EPSS, CVSS : trois questions différentes
| Référentiel | Question | Nature de la réponse | Ce qu'il rate |
|---|---|---|---|
| KEV | Est-elle exploitée ? | Oui ou non, constaté | Tout ce qui est exploité sans preuve publique. |
| EPSS | Risque-t-elle de l'être ? | Une probabilité de 0 à 1 | Les attaques ciblées, rares et donc mal prédites. |
| CVSS | Quels dégâts si elle l'est ? | Un score de 0 à 10 | Le calendrier, et votre contexte. |
Les trois se complètent dans cet ordre : le KEV déclenche, l'EPSS anticipe, le CVSS départage.
Le cadre réglementaire : de BOD 22-01 à BOD 26-04
Le catalogue est né de la directive BOD 22-01 (novembre 2021), qui imposait aux agences fédérales américaines de corriger les failles du KEV avant une échéance datée. En 2026, cette directive a été abrogée et remplacée par la BOD 26-04, centrée sur la priorisation des correctifs par le risque. Le catalogue, lui, reste actif et maintenu.
Aucune de ces directives ne s'impose juridiquement à une entreprise française. Leur intérêt est ailleurs : elles ont fait du KEV une référence commune, citée dans les appels d'offres, les rapports d'audit et les politiques de correctifs de tous les secteurs.
Et concrètement, pour vous
Trois gestes, dans cet ordre :
- Croisez le KEV avec votre inventaire, pas avec l'ensemble de vos alertes. Le catalogue entier ne vous concerne pas ; son intersection avec vos produits, si.
- Fixez une règle écrite : toute CVE du parc présente au KEV se traite sous 48 heures, quel que soit son score CVSS. Une règle chiffrée évite la négociation à chaque alerte.
- Surveillez l'entrée au catalogue, pas seulement la publication de la CVE. Une faille écartée il y a trois mois peut y entrer demain : c'est une transition, et c'est elle qui doit déclencher l'alerte.