Vérifier d’abord si l’avis vous concerne
Le nom d’un produit dans un avis ouvre la vérification. La version déployée, les composants touchés et les conditions décrites par l’éditeur déterminent si le système est concerné. Une version affichée sur un site peut être ancienne ; un inventaire peut omettre des services actifs. Comparez l’avis à un inventaire à jour avec l’équipe d’exploitation ou le prestataire responsable.
Distinguez chaque instance : production, test, site ou environnement client. Pour un prestataire informatique, un même nom de produit partagé par plusieurs clients ne suffit pas. Si la version est inconnue, la question reste ouverte. C’est une vérification précise à effectuer, pas une preuve de sécurité.
Trois questions pour préciser l’urgence
L’aide à la décision ci-dessous présente notre analyse éditoriale. Elle relie le problème technique à l’entreprise : quel système est touché, qui peut y accéder et quelles preuves d’exploitation existent ? Ajoutez les données, droits et activités qui en dépendent.
Un accès depuis Internet mérite une attention particulière. Les systèmes internes doivent aussi être évalués : un utilisateur authentifié ou un poste compromis peut ouvrir un autre chemin. Une protection ne réduit l’exposition retenue que si elle bloque effectivement le chemin d’attaque concerné.
Systèmes concernés
Comparer produit, version et conditions requises.
Accessibilité
Vérifier les accès et les protections efficaces.
Exploitation
Examiner l’avis éditeur, KEV et les preuves locales.
Définir la mesure
Relier impact opérationnel, responsable et délai.
Vérification
Confirmer la version active et la correction.
Aide éditoriale à la décision : les trois niveaux sont évalués dans leur contexte métier. Ils ne produisent pas de score automatique.
CVSS, EPSS et KEV répondent à des questions distinctes
N’additionnez pas ces valeurs pour fabriquer un score global d’une précision apparente. Notez la source et la date de consultation ; distinguez la décision des signaux qui la justifient. [1] [2] [3] [4]
Faites défiler le tableau horizontalement.
| Signal | Ce qu’il décrit | Ce qu’il ne permet pas de conclure à lui seul |
|---|---|---|
| Score de base CVSS (CVSS-B) | La gravité technique fondée sur les caractéristiques intrinsèques de la vulnérabilité, indépendamment de votre environnement d’exploitation. | Quelle vulnérabilité votre équipe devrait corriger en premier. Il faut pour cela connaître le système concerné et son contexte métier. |
| EPSS | La probabilité estimée d’observer, dans les 30 prochains jours, l’exploitation en conditions réelles d’une CVE publiée. | La probabilité d’une attaque contre votre entreprise, ni la preuve qu’une attaque est déjà en cours. |
| CISA KEV | Un catalogue des vulnérabilités dont l’exploitation est connue. Une inscription est un signal fort pour vérifier les systèmes concernés. | L’absence d’une vulnérabilité dans le catalogue ne prouve ni la sécurité ni l’absence d’attaques. |
Définir une mesure concrète
Lorsque la présence de la vulnérabilité, un accès utilisable et des preuves d’exploitation crédibles se rejoignent, soumettez directement la décision aux responsables. Évaluez le correctif de l’éditeur et, si nécessaire, une mesure temporaire recommandée : désactivation de la fonction concernée ou limitation des accès. Elle doit convenir à votre configuration.
Exemple simplifié : un portail d’accès pour les salariés, vulnérable et exposé sur Internet, peut passer avant une installation de test isolée du même produit. Les comptes accessibles et les conséquences opérationnelles motivent ce choix, pas seulement le nom du produit. Ailleurs, la perte de données, l’arrêt de production ou des droits étendus peuvent déterminer l’ordre.
Prévoyez les contrôles fonctionnels nécessaires, une fenêtre de maintenance et un retour arrière. Une mise à jour reportée demande un responsable identifié et une date précise de réexamen.
Clore après vérification
La gestion des correctifs comprend la vérification de leur installation. Pour un résultat traçable, consignez l’instance modifiée, la version désormais active et le contrôle réalisé. Ajoutez un test fonctionnel et actualisez l’inventaire.
Pour une mesure temporaire, précisez aussi ses limites et sa date de remplacement par une correction durable. Les indices d’une compromission antérieure relèvent du traitement des incidents. Installer un correctif ne suffit pas à trancher cette question. [5]