La méthode
Le score CVSS (Common Vulnerability Scoring System) mesure la gravité technique d’une vulnérabilité à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact. La version 4.0 ajoute des métriques d’exploitabilité et de contexte applicatif. Un score élevé ne dit rien sur la probabilité réelle qu’elle soit exploitée.
L’EPSS (Exploit Prediction Scoring System) complète le CVSS avec un score de probabilité qu’une vulnérabilité soit exploitée dans les 30 jours, calculé à partir de données d’exploitation observées. Une vulnérabilité au score CVSS moyen mais à l’EPSS élevé peut être plus urgente qu’une vulnérabilité critique jamais exploitée en pratique.
Le catalogue KEV (Known Exploited Vulnerabilities) de la CISA liste les vulnérabilités dont l’exploitation active a été confirmée : leur correction devient une priorité immédiate, indépendamment du score.
Quand l’utiliser
- Gestion continue des correctifs (patch management), pour décider de l’ordre de déploiement.
- Priorisation d’un grand nombre de vulnérabilités remontées par un scanner.
- Justification auprès de la direction du délai de correction accordé à chaque criticité.
Points d’attention
- Le score CVSS seul ne suffit pas à prioriser : combiner avec l’EPSS et le contexte de l’actif (exposition, criticité métier).
- L’EPSS évolue dans le temps : une vulnérabilité peu probable aujourd’hui peut devenir urgente après la publication d’un code d’exploitation.
- Un score bas ne veut pas dire sans risque si la vulnérabilité touche un actif très exposé ou très critique.
Étapes
- Recenser les vulnérabilités identifiées sur le périmètre (scanner, remontées d’éditeurs, tests d’intrusion).
- Relever le score CVSS de chaque vulnérabilité et l’ajuster au contexte réel (exposition, criticité de l’actif).
- Consulter le score EPSS pour estimer la probabilité d’exploitation à court terme.
- Vérifier si la vulnérabilité figure au catalogue KEV : la traiter alors en priorité absolue.
- Définir des délais de correction par niveau de priorité et suivre leur respect.
Calculateurs et catalogues
Liste issue du catalogue Aurorisk, liens contrôlés le 2026-09-26. Les accès gratuits établis sont listés en premier ; les informations inconnues sont indiquées.
| Outil | Source · licence · accès | Portée | Description |
|---|---|---|---|
| CISA — catalogue KEV ↗ | Organisme publicGratuit | États-Unis | Vulnérabilités connues comme exploitées. |
| FIRST — calculateur CVSS ↗ | Association ou fondationGratuit | International | Calcul du score CVSS v4.0. |
| FIRST — EPSS ↗ | Association ou fondationGratuit | International | Probabilité d’exploitation d’une vulnérabilité. |