Ouvrez le dernier rapport de votre outil de balayage et comptez les lignes marquées « critique ». Selon la taille de l'organisation, on en trouve quelques dizaines ou plusieurs centaines. Toutes portent le même mot, toutes réclament la même urgence, et l'équipe n'a le temps d'en traiter qu'une partie. Alors on corrige dans l'ordre du score, de haut en bas, en espérant que le haut de la liste soit aussi le plus dangereux.
C'est rarement le cas. Une faille critique n'est pas forcément urgente, et une faille « moyenne » peut l'être. Ce qui fait l'urgence, ce n'est pas la gravité théorique d'une faille : c'est la réponse à trois questions. Est-elle exploitée ? Est-elle exposée ? Est-elle ciblée ?
Pourquoi le score CVSS ne suffit pas
Le score CVSS est un bon outil, utilisé pour ce qu'il est. Son propre guide d'utilisation, publié par le FIRST pour la version 4.0, le dit sans détour : le score de base mesure la gravité d'une vulnérabilité, pas le risque, et ne devrait pas être utilisé seul pour évaluer le risque. Statut : texte officiel.
La gravité décrit ce qu'une faille permettrait si elle était exploitée, dans l'absolu. Le risque dépend de votre situation : la faille est-elle exploitée en ce moment par quelqu'un, l'actif touché est-il joignable par un attaquant, et ceux qui exploitent ce type de faille s'intéressent-ils à des organisations comme la vôtre ? Deux failles notées 9.8 peuvent représenter un risque très différent : l'une sur un boîtier VPN exposé à Internet et activement exploité, l'autre sur un serveur interne isolé, sans exploitation connue.
Ce que ça change : trier par score CVSS, c'est trier par gravité théorique. On finit par corriger avec application ce qui ne menace personne, pendant que la faille réellement utilisée attend son tour.
Filtre 1 : est-elle exploitée ?
La première question est la plus simple à documenter, parce que des sources publiques y répondent.
Le catalogue KEV de la CISA. L'agence américaine de cybersécurité tient ce qu'elle appelle la source de référence des vulnérabilités exploitées dans la réalité : le catalogue des vulnérabilités exploitées connues. Une faille n'y entre qu'avec une preuve d'exploitation active. La CISA recommande à toutes les organisations de l'utiliser comme une donnée d'entrée de leur priorisation. Statut : source officielle. C'est une liste courte au regard des dizaines de milliers de failles publiées chaque année, et c'est ce qui la rend utile.
Le score EPSS du FIRST. Pour les failles qui ne sont pas encore au catalogue, le système EPSS estime la probabilité qu'une faille publiée soit exploitée dans la réalité au cours des 30 prochains jours. Ce n'est pas une certitude, c'est une probabilité, mise à jour chaque jour. Elle sert à repérer, dans la masse, les failles qui ont le plus de chances de passer du papier à l'attaque.
En pratique : une faille au catalogue KEV passe en tête, quel que soit son score. Une faille absente du catalogue mais avec un EPSS élevé vient ensuite. Le reste attend le cycle normal.
Filtre 2 : est-elle exposée ?
Une faille exploitée n'est dangereuse que si l'attaquant peut atteindre l'actif qui la porte. Deux vérifications, souvent sautées :
- L'actif est-il réellement présent ? Les outils de balayage remontent parfois des failles sur des versions qui ne tournent plus, des machines retirées ou des composants désactivés. Avant de mobiliser une équipe, confirmez que l'actif existe et que la version vulnérable y est bien.
- Est-il joignable ? Un service accessible depuis Internet, une interface d'administration ouverte, un équipement de bordure : c'est là qu'une faille exploitée devient une porte. Un serveur isolé dans un segment interne reste à corriger, mais il n'a pas la même urgence.
Ce critère n'est pas une intuition. La directive BOD 26-04 de la CISA, publiée le 10 juin 2026 sous le titre « Prioritizing Security Updates Based on Risk », fonde l'urgence de correction des agences fédérales américaines sur quatre variables : l'actif vulnérable est-il exposé publiquement, la faille figure-t-elle au catalogue KEV, un attaquant peut-il automatiser toute l'exploitation, et l'exploitation donne-t-elle un contrôle partiel ou total de l'actif. Pour les cas les plus graves, elle exige une correction en trois jours, assortie d'une recherche de compromission. Statut : texte officiel. Vous n'êtes pas une agence fédérale, mais la logique vaut pour tout le monde : l'exposition est une variable de premier rang, pas un détail.
Filtre 3 : est-elle ciblée ?
Le troisième filtre est le moins utilisé, parce qu'il demande de regarder au-delà de son propre réseau : ceux qui exploitent cette faille visent-ils des organisations comme la vôtre ?
Les groupes d'attaquants ont des habitudes. Certains visent un secteur, la santé, la fabrication, les services financiers ; d'autres un pays ou une région ; d'autres encore une famille de produits, les passerelles d'accès à distance ou les logiciels de transfert de fichiers. Le renseignement sur les menaces (threat intelligence) sert précisément à répondre à cette question : quels groupes sont actifs contre votre secteur et votre pays, et quelles failles utilisent-ils en ce moment ?
Ce filtre ne fait pas disparaître une faille de la liste. Il départage, parmi les failles exploitées et exposées, celles qui sont dans le viseur de quelqu'un qui vous cherche.
De milliers de lignes à cinq ou dix actions
Appliqués dans l'ordre, les trois filtres changent la forme de la liste :
- Exploitée, exposée et ciblée : à traiter cette semaine, avec une recherche de compromission si la faille était exploitée avant que vous ne corrigiez.
- Exploitée et exposée : à traiter dans le délai le plus court de votre politique, en jours.
- Exploitée mais non exposée, ou exposée avec un EPSS élevé : au prochain cycle, sans le repousser.
- Le reste : le cycle normal, et une révision quand l'un des trois signaux change.
La première catégorie tient presque toujours en quelques lignes. C'est elle qui mérite la réunion, le budget et le suivi de la direction. Une action ne veut pas dire une faille : un seul correctif, une seule mise à niveau ou une seule fermeture d'interface règle souvent plusieurs lignes à la fois. C'est ainsi qu'une liste de milliers de vulnérabilités devient cinq à dix actions qu'on peut nommer, assigner et suivre.
Un dernier point : les trois signaux changent. Une faille entre au catalogue KEV un mardi, un équipement est exposé par erreur un jeudi, un groupe change de cible le mois suivant. La priorisation n'est pas un tri annuel, c'est une lecture continue.
Le test de la semaine : trente minutes, vingt lignes
Prenez les vingt vulnérabilités les mieux notées de votre dernier rapport de balayage, et répondez pour chacune à trois questions, par oui ou par non :
- Figure-t-elle au catalogue KEV de la CISA ? (Une recherche par numéro CVE suffit.)
- L'actif touché est-il joignable depuis Internet, et la version vulnérable y est-elle bien présente ?
- Savez-vous si des groupes actifs contre votre secteur ou votre pays l'exploitent ?
Comptez ensuite les lignes qui ont trois oui, puis celles qui ont au moins les deux premiers. Trois résultats doivent vous interpeller. Aucune ligne au catalogue KEV parmi vos vingt « critiques » : votre liste trie la gravité, pas l'urgence ; les failles exploitées sont peut-être plus bas. Impossible de répondre à la question 2 sans ouvrir un ticket : vous ne savez pas ce que vous exposez, et c'est le premier chantier. Aucune réponse à la question 3 : vous priorisez sans savoir qui vous cherche.
Ce que vous devriez avoir dans une semaine
Une page : vos cinq à dix actions prioritaires, chacune avec les failles qu'elle règle, les trois signaux qui la justifient, un responsable nommé et une échéance. Et une règle écrite pour la suite : toute faille qui entre au catalogue KEV et touche un actif exposé déclenche une décision dans les jours qui suivent, pas au prochain cycle mensuel.
Les définitions des trois sources utilisées ici sont dans notre glossaire : CVSS, catalogue KEV de la CISA et EPSS.
Sources : FIRST, CVSS v4.0, guide d'utilisation (le score de base mesure la gravité, pas le risque) · CISA, catalogue des vulnérabilités exploitées connues (KEV) · FIRST, Exploit Prediction Scoring System (EPSS) · CISA, BOD 26-04, Prioritizing Security Updates Based on Risk (10 juin 2026)