CVE et vulnérabilités : comprendre, prioriser et corriger

Une CVE, pour Common Vulnerabilities and Exposures, est l’identifiant unique attribué à une vulnérabilité de sécurité publiquement divulguée, sous la forme CVE suivie de l’année et d’un numéro de séquence. Le référentiel dépasse aujourd’hui plusieurs dizaines de milliers de publications par an : aucune organisation ne peut tout corriger, et la question n’est plus de patcher mais de savoir dans quel ordre. Cette page réunit la lecture d’une vulnérabilité, les critères de priorisation qui fonctionnent réellement, et la conduite d’un programme de remédiation, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce qu’une CVE ?

Définition. Une CVE est un identifiant standardisé attribué à une vulnérabilité de sécurité rendue publique, qui permet à l’ensemble de l’écosystème, éditeurs, chercheurs, outils de détection et équipes de sécurité, de désigner la même faille sans ambiguïté.

Ce que la CVE est, et ce qu’elle n’est pas

La CVE est un identifiant, pas une évaluation. Elle ne dit ni la gravité, ni l’exploitabilité, ni l’urgence. Ces informations viennent des systèmes de notation qui s’y adossent.

Le programme est coordonné par MITRE, avec un réseau d’autorités habilitées à attribuer des identifiants, dont les grands éditeurs pour leurs propres produits. En France, le CERT-FR relaie les vulnérabilités critiques par ses avis et ses alertes.

Vulnérabilité, exploit, incident : trois notions distinctes

Le passage de la première à la troisième ligne est ce qui détermine l’urgence. Une vulnérabilité critique sans exploit public est un risque théorique. Une vulnérabilité moyenne activement exploitée sur un équipement exposé est une urgence.

Lire et noter une vulnérabilité

CVSS : la sévérité intrinsèque

Le Common Vulnerability Scoring System note de 0 à 10 la gravité technique d’une faille, à partir de son vecteur d’attaque, de sa complexité, des privilèges requis et de son impact sur la confidentialité, l’intégrité et la disponibilité.

Sa limite est structurelle : il mesure une sévérité théorique, hors contexte. Une CVSS de 9,8 sur un composant que vous n’exposez pas, ou que vous n’avez pas déployé, ne mérite pas de fenêtre de maintenance en urgence. À l’inverse, une CVSS de 6,5 sur un concentrateur d’accès distant publié sur Internet mérite un traitement immédiat.

Piloter un programme de correctifs sur le seul score CVSS conduit à consommer l’essentiel de la capacité des équipes sur des vulnérabilités qui ne seront jamais exploitées.

EPSS et catalogue d’exploitation active

Deux compléments changent la donne.

L’EPSS, Exploit Prediction Scoring System, estime la probabilité qu’une vulnérabilité soit exploitée dans les trente jours. Il répond à une question différente du CVSS : non pas « à quel point est-ce grave » mais « à quel point est-ce probable ».

Les catalogues de vulnérabilités activement exploitées, dont le KEV publié par l’agence américaine CISA, listent les failles dont l’exploitation est constatée. Une vulnérabilité qui y figure sort de toute discussion de priorisation : elle se corrige.

La grille de priorisation qui fonctionne

Croiser quatre critères, dans cet ordre :

1. L’exploitation est-elle constatée ? Présence dans un catalogue d’exploitation active ou dans un avis CERT-FR.

2. Le composant est-il exposé ? Une vulnérabilité sur un équipement de bordure ne se compare pas à la même vulnérabilité sur un serveur interne segmenté.

3. L’actif est-il critique ? Criticité métier, données traitées, dépendances.

4. Quelle est la sévérité technique ? CVSS, en dernier critère et non en premier.

Le renversement à opérer : commencer par l’exposition et l’exploitation, finir par le score. La plupart des programmes font l’inverse.

Conduire un programme de gestion des vulnérabilités

Le préalable : l’inventaire

Un programme de correctifs ne vaut que ce que vaut l’inventaire des actifs. Une vulnérabilité sur un serveur que personne n’a recensé ne sera jamais corrigée. La cartographie de la surface exposée sur Internet est le premier livrable, avant tout scanner.

Le cycle

5. Découverte. Inventaire des actifs et de la surface externe, identification continue des nouveaux services exposés.

6. Détection. Scans authentifiés, remontée depuis les agents, veille sur les avis d’éditeurs et du CERT-FR.

7. Priorisation. Selon la grille à quatre critères.

8. Remédiation. Correctif, contournement, ou acceptation documentée du risque. Les trois sont des décisions légitimes, l’absence de décision ne l’est pas.

9. Vérification. Contrôle que le correctif est effectivement appliqué. L’écart entre correctifs déployés et correctifs appliqués est une source récurrente de fausse assurance.

10. Mesure. Suivi du délai de remédiation par niveau de criticité.

Les délais à contractualiser

Le point le plus utile pour un DSI n’est pas de fixer une politique générale de correctifs, mais de distinguer un régime d’urgence.

Les équipements de bordure méritent un traitement à part : concentrateurs d’accès distant, pare-feu, passerelles de messagerie, serveurs de transfert de fichiers. L’écart entre publication d’un correctif et exploitation de masse s’y compte en jours. Un délai contractualisé sur ce périmètre, distinct du cycle ordinaire, est la mesure la plus efficace du programme. Voir nos sections VPN d’entreprise et ransomware, où l’exploitation d’une faille de bordure figure parmi les trois vecteurs d’intrusion dominants.

Ce que le programme ne couvre pas

Un scanner détecte des versions vulnérables connues. Il ne détecte ni les défauts de configuration, ni les erreurs de logique métier, ni les chemins d’élévation dans l’annuaire. Ces angles morts relèvent du test d’intrusion et de l’audit d’Active Directory.

La gestion des vulnérabilités figure explicitement parmi les mesures attendues au titre de la conformité NIS2, avec une exigence de divulgation coordonnée pour les organisations qui développent leurs propres composants.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.