La présence d’un lien ne résume pas la menace
La colonne « exploit » d’un rapport contient parfois un lien, parfois une case vide. Le lien peut conduire à une analyse, une démonstration partielle ou un signalement d’exploitation. Une case vide peut seulement indiquer que la source n’a rien fourni à la date de collecte. Ces deux états ne suffisent pas à classer les dossiers.
Avant de changer une priorité, établissez ce que la référence démontre et si les conditions concernent votre système. Une exploitation documentée ailleurs ne prouve pas une compromission chez vous. L’absence de référence publique ne permet pas non plus d’écarter une vulnérabilité applicable. La décision dépend du niveau de preuve et de votre situation technique.
Nommer précisément le niveau de preuve
Une preuve de concept montre une faisabilité dans des conditions données. Un exploit public peut être plus abouti, mais aussi incomplet ou limité à une configuration. Une exploitation observée repose sur des éléments attestant un usage réel. Le guide SSVC de CISA distingue notamment les preuves de concept publiques et l’exploitation active. Ces niveaux méritent des champs séparés dans le dossier.
Pour chaque référence, relevez l’auteur, la date, les versions, les prérequis et les limites décrites. Vérifiez si les autres publications apportent des éléments indépendants ou reprennent la même annonce. Vous pourrez ainsi expliquer la conclusion sans obliger chaque équipe à refaire la recherche.
KEV fournit un signal important, sans décrire votre parc
Le catalogue Known Exploited Vulnerabilities de CISA recense des vulnérabilités connues comme exploitées. Ses données sont aussi disponibles dans le dépôt officiel cisagov/kev-data. Pour tracer votre analyse, conservez l’identifiant, la date d’ajout et la date de consultation. Si le dossier est réexaminé, vous saurez quelle information était disponible lors de la première décision.
La présence dans KEV renforce le signal de menace. Elle ne confirme ni la présence du logiciel ni son applicabilité chez vous. L’absence du catalogue n’exclut pas une exploitation. Quant aux échéances affichées, vérifiez leur cadre d’application avant de les reprendre dans vos engagements ou votre plan de traitement.
Sources : CISA, dépôt officiel des données KEV, CISA, When to Issue VEX Information
EPSS estime une probabilité, il ne constate pas une attaque
EPSS, porté par FIRST, estime la probabilité qu’une CVE publiée soit exploitée dans la nature au cours des trente prochains jours. Le score est daté et ne décrit pas directement l’exposition de votre service. Le percentile exprime son rang relatif parmi les scores : ce n’est pas une seconde probabilité.
Un score faible n’écarte pas une exploitation documentée ; un score élevé ne confirme pas l’applicabilité locale. Utilisez EPSS avec les autres informations du dossier. CVSS décrit la sévérité, tandis qu’EPSS fournit une prévision d’exploitation. La règle qui conduit à votre priorité doit expliquer la place donnée à chacun.
Sources : FIRST, Exploit Prediction Scoring System, FIRST, données EPSS et définition du percentile
Deux dossiers fictifs, deux investigations différentes
DEMO-MENACE-A contient une démonstration publique pour un composant confirmé dans le service, sans exploitation observée. L’équipe vérifie les prérequis et prépare le traitement. DEMO-MENACE-B contient un avis fournisseur signalant une exploitation observée, mais la version installée manque.
Pour B, obtenir la version devient une action urgente, attribuée et datée. La menace accélère la vérification sans résoudre à elle seule l’applicabilité. Pour A, les conditions locales confirmées peuvent justifier une priorité élevée même sans inscription dans un catalogue. Chaque décision conserve sa justification et les éléments qui pourraient la faire évoluer.
Conserver une synthèse que l’on peut mettre à jour
La synthèse conserve le type de référence, l’exploitation documentée, sa date, l’applicabilité, l’exposition et la décision. Un avis modifié, un ajout au catalogue ou une nouvelle version collectée peut relancer l’analyse. L’historique permet de comprendre pourquoi la priorité a changé.
Confiez à CyberLifeCycle la veille et la qualification des informations d’exploitation sur votre périmètre. Nous rapprochons les sources, documentons leur niveau de preuve et suivons les vérifications nécessaires. Vous retrouvez une analyse datée pour préparer vos décisions, sans reprendre la recherche à chaque comité.
Sources consultées
- CISA, guide SSVC et niveaux d’exploitationConsulté le 30 octobre 2026.
- CISA, dépôt officiel des données KEVConsulté le 30 octobre 2026.
- CISA, When to Issue VEX InformationConsulté le 30 octobre 2026.
- FIRST, Exploit Prediction Scoring SystemConsulté le 30 octobre 2026.
- FIRST, données EPSS et définition du percentileConsulté le 30 octobre 2026.