CVSS, EPSS et KEV : quelle vulnérabilité corriger d’abord

Un produit, quelle que soit sa taille, est livré avec des vulnérabilités connues dans ses composants, et de nouvelles sont publiées chaque jour. Impossible de tout corriger d’un coup. Trois signaux publics aident à choisir par quoi commencer, et ils répondent à trois questions différentes :

Signal	La question	Qui le publie
CVSS	À quel point ce serait grave si elle était exploitée ?	Le FIRST le définit ; éditeurs et bases notent chaque vulnérabilité
EPSS	Quelle probabilité qu’elle soit exploitée dans les 30 jours ?	Le FIRST, recalculé chaque jour
KEV	Est-elle exploitée en ce moment ?	La CISA américaine (catalogue des vulnérabilités exploitées) ; en Europe, la base européenne des vulnérabilités

Les confondre est l’erreur la plus courante de la gestion des vulnérabilités, et avec le Cyber Resilience Act elle a un coût : un seul d’entre eux peut lancer l’horloge de signalement.

Le CVSS : la gravité

Le Common Vulnerability Scoring System note la gravité technique d’une vulnérabilité de 0 à 10, à partir de métriques comme la façon de l’atteindre (réseau, réseau adjacent, local, physique), la complexité de l’attaque, les privilèges et l’interaction utilisateur nécessaires, et l’impact sur la confidentialité, l’intégrité et la disponibilité.

Score	Niveau
0,1 à 3,9	Faible
4,0 à 6,9	Moyen
7,0 à 8,9	Élevé
9,0 à 10,0	Critique

Le CVSS 3.1 reste la version que publient la plupart des bases. Le CVSS 4.0, publié par le FIRST en novembre 2023, affine les métriques (conditions d’attaque, impact sur les systèmes suivants, métriques complémentaires comme l’automatisation possible) et le remplace peu à peu. Notez un vecteur vous-même avec nos calculateurs CVSS 3.1 et CVSS 4.0.

Ce que le CVSS ne dit pas : si quelqu’un l’exploitera un jour. La plupart des vulnérabilités notées élevées ou critiques ne sont jamais exploitées. Trier par CVSS seul, c’est corriger beaucoup de choses sans importance avant les quelques-unes qui comptent.

L’EPSS : la probabilité

L’Exploit Prediction Scoring System, lui aussi du FIRST, estime la probabilité qu’une vulnérabilité soit exploitée dans les 30 prochains jours. C’est un modèle entraîné sur l’activité d’exploitation réelle et sur ce que l’on sait de chaque vulnérabilité (code d’exploitation public, mentions, éditeur, ancienneté), recalculé chaque jour pour chaque CVE publiée. Chaque score vient avec un percentile : un EPSS de 0,40 peut placer une vulnérabilité au-dessus de 98 % des autres.

L’EPSS répond bien à la question que le CVSS laisse ouverte : de deux vulnérabilités graves, laquelle intéresse les attaquants. C’est une prévision, pas un fait, et il ne sait rien de votre produit : une vulnérabilité probablement exploitée dans du code que votre produit n’exécute jamais n’est toujours pas votre urgence. Consultez les scores du jour avec notre outil EPSS.

Le KEV : la preuve d’exploitation

Le catalogue Known Exploited Vulnerabilities, tenu par la CISA américaine depuis novembre 2021, liste les vulnérabilités pour lesquelles il existe une preuve fiable d’exploitation, avec une date limite de correction pour les agences fédérales américaines. Il est court comparé à la liste complète des CVE, et chacune de ses entrées mérite attention.

En Europe, la base européenne des vulnérabilités de l’ENISA (EUVD), ouverte en 2025, signale aussi les vulnérabilités exploitées. Les avis des éditeurs, les CERT nationaux et vos propres preuves d’incident sont d’autres sources.

Lequel lance l’horloge du CRA

Depuis le 11 septembre 2026, le Cyber Resilience Act oblige les fabricants à signaler les vulnérabilités activement exploitées de leurs produits : une alerte précoce sous 24 heures après en avoir eu connaissance, une notification sous 72 heures, puis un rapport final.

Le règlement définit une vulnérabilité activement exploitée comme une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation de son propriétaire. C’est un signal de type KEV, pas CVSS ni EPSS :

une vulnérabilité CVSS 9,8 que personne n’exploite ne lance pas l’horloge ;
un score EPSS élevé ne lance pas l’horloge ;
une vulnérabilité de gravité moyenne listée dans le KEV, dans un composant que votre produit utilise d’une façon concernée, peut la lancer.

Surveillez donc les listes d’exploitation chaque jour, pas seulement à la sortie d’une version. Voir l’horloge de signalement.

Une façon simple de les combiner

Exploitée et touchant votre produit (KEV ou EUVD, et le code vulnérable est atteignable) : agissez tout de suite. Évaluez en quelques heures, corrigez ou atténuez, et signalez au titre de l’article 14 si le produit est concerné.
EPSS élevé (par exemple parmi les quelques pour cent les plus hauts) et atteignable : juste après. Corrigez en jours, pas en semaines.
CVSS élevé ou critique, EPSS faible : prévoyez-la dans le cycle normal, plus vite si le composant est exposé au réseau.
Le reste : avec les mises à jour régulières des dépendances.

À chaque niveau, vérifiez d’abord que votre produit est vraiment touché : le composant est-il livré, le code vulnérable est-il présent et atteignable ? Notez la réponse dans une déclaration VEX, pour ne pas refaire l’analyse à la version suivante.

Des méthodes comme le SSVC (Stakeholder-Specific Vulnerability Categorization, du CERT/CC, avec une version de la CISA) transforment ce raisonnement en arbre de décision, si vous voulez quelque chose de plus formel.

Ce que fait Provetry

Avec les offres payantes, Provetry rapproche chaque jour chaque composant de vos versions maintenues des nouvelles vulnérabilités, du KEV de la CISA et de l’EUVD, montre d’abord les vulnérabilités exploitées puis l’EPSS, vous alerte dès qu’une vulnérabilité est exploitée, et ouvre le signalement avec son horloge et ses brouillons quand vous confirmez que le produit est concerné.