Évaluer la criticité réelle d’une CVE avec CVSS, EPSS et le catalogue KEV

Pourquoi un score CVSS ne suffit-il pas à décider ?

Un scanner rend des centaines de CVE, chacune avec un score sur 10. La tentation est de corriger de haut en bas. C’est confondre deux questions : « à quel point cette faille est-elle grave en théorie ? » et « faut-il la corriger avant les autres, ici, maintenant ? ».

Le CVSS répond à la première. La spécification de FIRST le dit sans détour : le score de base reflète la sévérité d’une vulnérabilité selon ses caractéristiques intrinsèques. Il ne sait rien de votre parc, ni de ce que font les attaquants cette semaine. FIRST recommande d’ailleurs d’enrichir ce score avec les métriques de menace et d’environnement, ce que peu d’organisations font.

Évaluer la criticité réelle, c’est donc assembler trois signaux publics qui ne mesurent pas la même chose, puis les rapporter à l’actif touché.

Que mesurent CVSS, EPSS et KEV ?

CVSS : la sévérité technique

Le CVSS v4.0 a été publié par FIRST le 1er novembre 2023 ; la spécification en vigueur est la révision 1.2 du 18 juin 2024. Beaucoup d’avis publient encore un score en v3.1, parfois les deux. Les deux versions coexistent donc dans vos outils, et elles ne se lisent pas de la même façon.

Deux conséquences pratiques. D’abord, un score v3.1 et un score v4.0 ne se comparent pas terme à terme : métriques et calcul diffèrent. Ensuite, la nomenclature v4.0 vous oblige à dire ce que vous affichez. Un « 9,3 » sans mention est presque toujours un CVSS-B, c’est-à-dire un score qui ignore la menace et votre environnement.

EPSS : la probabilité d’exploitation

L’EPSS, également maintenu par FIRST, publie chaque jour, pour chaque CVE, une probabilité entre 0 et 1 qu’elle soit exploitée dans les 30 jours, accompagnée d’un percentile. La page de données de l’EPSS indique que la version 4 a été publiée à partir du 17 mars 2025 et que la version 5 (modèle v2026.06.15) l’a remplacée le 15 juin 2026.

Trois précautions, toutes tirées de la FAQ de l’EPSS :

• La probabilité n’est pas le percentile. La première est une mesure absolue, le second un rang relatif. Un percentile élevé peut correspondre à une probabilité faible.
• L’EPSS ignore votre contexte. Il ne tient compte ni de vos contrôles compensatoires ni de vos actifs, et il n’estime pas l’impact d’une exploitation réussie.
• La preuve prime sur la prédiction. Quand une exploitation active est documentée, notamment par le KEV, elle l’emporte sur un EPSS faible.

À noter aussi : chaque changement de version du modèle a déplacé les scores à sa date d’entrée en vigueur. Une série historique qui traverse le 15 juin 2026 mélange deux méthodes.

KEV : l’exploitation constatée

Le catalogue Known Exploited Vulnerabilities de la CISA recense les vulnérabilités dont l’exploitation est avérée. Trois critères conditionnent l’inscription : un identifiant CVE, des preuves fiables d’exploitation active et une action de correction claire. Au 8 novembre 2026, le catalogue KEV compte 1 769 entrées.

Son cadre juridique a changé. La directive BOD 26-04 du 10 juin 2026 remplace les directives BOD 22-01 et BOD 19-02. Elle abandonne un délai unique et fixe l’urgence à partir de quatre variables : l’exposition publique de l’actif, la présence au KEV, l’automatisation possible de l’exploitation et l’impact technique (contrôle partiel ou total). Le niveau le plus urgent impose une correction ou une atténuation en trois jours, avec un triage forensique pour vérifier que le système n’est pas déjà compromis. Ces variables reprennent la logique de l’arbre de décision SSVC, dont les issues vont de Track (suivre) à Act (agir au plus vite).

La directive ne lie que les agences fédérales civiles américaines. Sa grille reste une référence publique, datée et lisible pour n’importe quelle organisation.

Les sources européennes et françaises

Deux sources complètent le KEV pour un parc français :

• la base européenne des vulnérabilités (EUVD) de l’ENISA, lancée le 13 mai 2025 en application de NIS2. Elle propose trois vues : vulnérabilités critiques, vulnérabilités exploitées et vulnérabilités coordonnées par des CSIRT européens. Les données du KEV y sont reprises automatiquement ;
• les alertes du CERT-FR, que l’agence réserve aux dangers immédiats. Une CVE qui fait l’objet d’une alerte mérite le même traitement qu’une entrée du KEV.

Comment combiner les signaux avec le contexte de l’actif ?

Aucun des trois scores ne connaît votre système d’information. Le contexte fait la décision finale. Cinq questions suffisent dans la plupart des cas :

1. L’actif est-il exposé ? Accessible depuis Internet, joignable depuis le réseau bureautique, ou isolé.
2. Que vaut-il pour l’activité ? Facturation, production, données de santé, annuaire.
3. Est-il un pivot ? Un serveur qui mène à d’autres, un compte à privilèges, un équipement de bordure.
4. Le code vulnérable est-il réellement atteignable ? Une bibliothèque présente mais jamais appelée, une fonction désactivée.
5. Une protection compense-t-elle ? Filtrage, segmentation, authentification forte devant le service.

Le tableau suivant donne une grille de départ. Les délais restent à fixer selon votre capacité de correction.

La dernière ligne est celle qui surprend le plus. Elle découle de l’approche par l’exposition décrite dans le cadre CTEM de Gartner : une faiblesse moyenne qui ouvre l’accès à un actif critique compte davantage qu’une faiblesse grave sans issue.

Le CVSS v4.0 permet d’ailleurs d’inscrire une partie de ce contexte dans le score : les métriques d’environnement (exigences de confidentialité, d’intégrité et de disponibilité, métriques de base modifiées) produisent un CVSS-BE ou un CVSS-BTE propre à votre parc. C’est ce score, et non le CVSS-B de l’avis, qui devrait alimenter vos délais.

Dans Beareye, cette combinaison est faite par la fonction de gestion des vulnérabilités du Command Center, qui croise score technique, probabilité d’exploitation, exploitation connue, criticité de l’actif et chemin d’attaque. Une fois la file ordonnée, reste à la faire corriger : c’est l’objet de notre article sur l’orchestration de la remédiation.

Exemple : trois CVE, un seul créneau

Exemple type. Un lundi matin, une équipe de trois personnes dispose d’une fenêtre de maintenance pour une seule intervention lourde. Trois CVE sont ouvertes.

La première, notée 9,8 en CVSS v3.1, touche un serveur de recette sans exposition Internet ni compte partagé avec la production. Son EPSS est faible et elle n’est pas au KEV.

La deuxième, notée 7,5, touche la passerelle VPN. Elle a été ajoutée au KEV la semaine précédente et fait l’objet d’une alerte du CERT-FR.

La troisième, notée 6,5, touche un serveur de fichiers interne qui détient des comptes de service utilisés sur l’ERP. Son EPSS est en hausse depuis la publication d’une preuve de concept.

L’équipe traite la passerelle VPN dans la fenêtre et vérifie l’absence de compromission antérieure. Elle restreint l’accès au serveur de fichiers en attendant le correctif, planifié sous quinzaine. Le serveur de recette passe au cycle mensuel. L’ordre final est l’inverse exact de l’ordre des scores CVSS.

Ce scénario est construit à partir de situations courantes en mission, pas à partir d’un client identifiable.

Limites de ces scores

Ils portent sur des CVE. Une erreur de configuration, un identifiant fuité, un service oublié ou un droit excessif dans un annuaire n’ont pas de CVE. En test d’intrusion, ce sont souvent eux qui ouvrent la porte. Une évaluation fondée uniquement sur les CVE laisse donc de côté une partie de l’exposition, que seule une découverte plus large, ou un test d’intrusion, fait apparaître.

Ils dépendent de la qualité de l’avis. Un vecteur CVSS mal renseigné par l’éditeur, une liste de versions affectées incomplète ou une CVE encore sans score faussent toute la chaîne.

Ils décrivent le passé ou une probabilité. Le KEV atteste ce qui a été vu ; l’EPSS estime ce qui est probable. Ni l’un ni l’autre ne prouve qu’une exploitation réussirait chez vous, avec vos protections en place. Seule une validation offensive le démontre.

Le contexte coûte. Les cinq questions sur l’actif supposent un inventaire tenu et des propriétaires identifiés. Sans eux, la meilleure combinaison de scores reste une hypothèse.