Comprendre les vulnérabilités et expositions communes (CVEs)

Les vulnérabilités et expositions communes (CVEs) fournissent une identification universelle des vulnérabilités permettant aux outils de sécurité de communiquer sur les mêmes menaces. Découvrez comment intégrer les CVE à vos flux de travail.

Quelles sont les vulnérabilités et expositions communes (CVE) ?

Lorsque vous découvrez une vulnérabilité à 3 heures du matin, les identifiants CVE garantissent que vos outils de sécurité, les avis des fournisseurs et les flux de renseignement sur les menaces font tous référence à la même vulnérabilité en utilisant un nom standardisé. Cela élimine toute confusion lorsque vous disposez de quelques heures, et non de plusieurs jours, pour réagir.

MITRE Corporation (désignée par le DHS) maintient la base CVE en tant que dictionnaire auquel vos outils de sécurité se réfèrent lorsque vous signalez des vulnérabilités. La standardisation CVE vous fournit un identifiant unique (format CVE-YYYY-NNNN) permettant un suivi cohérent tout au long des processus de découverte, d’évaluation, de priorisation, de remédiation et de vérification.

Vous naviguez dans un système traitant 39 450 enregistrements de vulnérabilités en 2025 selon la méthodologie CWE Top 25 de MITRE. Vous ne pouvez pas tout corriger, il vous faut donc une identification standardisée pour prioriser efficacement.

CVE vs CVSS : quelle différence ?

CVE et CVSS répondent à des questions différentes. CVE vous indique quelle est la vulnérabilité. CVSS vous indique sa gravité.

CVE (Common Vulnerabilities and Exposures) fournit l’identifiant au format CVE-YYYY-NNNN, où YYYY est l’année d’attribution et NNNN le numéro de séquence. Cela permet un suivi cohérent dans votre pile de sécurité.

CVSS (Common Vulnerability Scoring System) fournit des scores de gravité de 0,0 à 10,0 selon trois métriques distinctes :

• Métriques de base évaluent les caractéristiques intrinsèques de la vulnérabilité elle-même
• Métriques temporelles tiennent compte de facteurs dépendant du temps comme la disponibilité d’exploits et l’état des correctifs
• Métriques environnementales évaluent l’impact contextuel sur votre environnement spécifique, y compris la criticité des actifs et les contrôles de sécurité existants

Ensemble, CVE et CVSS permettent une priorisation efficace. Votre scanner de vulnérabilités détecte CVE-2021-44228, votre flux de menaces confirme son score CVSS de base de 10,0, et votre score environnemental s’ajuste selon que l’instance vulnérable de Log4j est exposée à Internet ou isolée. Cela vous donne une vue complète pour des décisions de réponse plus rapides et précises.

Pourquoi les CVE sont importants en cybersécurité

Les acteurs malveillants exploitent les vulnérabilités pendant que vos processus de gestion des vulnérabilités s’efforcent de les traiter. La standardisation CVE n’élimine pas ce décalage temporel, mais elle vous évite de perdre des heures à identifier quelle vulnérabilité vos outils signalent. Vous prenez des décisions de triage et de réponse plus rapidement.

Sans standardisation CVE, votre scanner pourrait nommer une vulnérabilité « Exécution de code à distance dans Apache Log4j », votre flux de renseignement sur les menaces pourrait mentionner « Log4Shell », et l’avis de votre fournisseur pourrait décrire une « vulnérabilité d’injection JNDI ». CVE-2021-44228 élimine cette confusion. Un identifiant, une vulnérabilité, un suivi cohérent dans chaque outil de sécurité de votre environnement.

Selon l’ENISA Threat Landscape 2025, l’exploitation de vulnérabilités représentait 21,3 % des intrusions contre les organisations européennes. Cela représente une augmentation significative, les acteurs malveillants utilisant l’exploitation de vulnérabilités comme vecteur d’accès initial lors des compromissions d’entreprise.

Le catalogue des vulnérabilités exploitées connues de la CISA recense 1 484 vulnérabilités confirmées comme activement exploitées lors de cyberattaques réelles. Cela représente moins de 1 % de toutes les CVE connues mais constitue le risque le plus élevé pour votre entreprise. La standardisation CVE permet à la CISA de publier ce catalogue avec des identifiants non ambigus que vos outils de sécurité peuvent consommer immédiatement.

Impact réel de l’exploitation des CVE

L’attaque par ransomware contre Colonial Pipeline en 2021 a démontré ce qui se passe lorsque les vulnérabilités sont militarisées. Les attaquants ont exploité une vulnérabilité VPN héritée (absence d’authentification multifacteur) pour obtenir un accès initial, puis ont déployé le ransomware DarkSide qui a chiffré 8 850 kilomètres d’infrastructures de pipeline de carburant. L’attaque a entraîné un arrêt opérationnel complet pendant six jours, des pénuries de carburant sur la côte Est des États-Unis, et a coûté à l’entreprise 4,4 millions de dollars de rançon, plus des dizaines de millions en coûts de récupération, selon les documents judiciaires du DOJ.

La violation de données Equifax de 2017, causée par l’absence de correctif pour CVE-2017-5638 (vulnérabilité Apache Struts), a exposé les informations personnelles de 147 millions de consommateurs. Selon les documents de règlement de la FTC, la violation a coûté à Equifax au moins 575 millions de dollars en règlements, avec un coût total dépassant 1,4 milliard de dollars en tenant compte des améliorations de cybersécurité et des frais juridiques. La vulnérabilité avait été divulguée publiquement depuis deux mois avec des correctifs disponibles, mais était restée non corrigée dans l’environnement d’Equifax.

Ces exemples soulignent l’importance cruciale de comprendre comment les vulnérabilités passent de la découverte à votre tableau de bord de sécurité. Ce parcours suit un workflow spécifique.

Comprendre le workflow des vulnérabilités et expositions communes

Le workflow d’attribution CVE détermine si vous disposez de quelques heures ou de plusieurs semaines d’alerte avant que les acteurs malveillants ne frappent. Les vulnérabilités traversent cinq étapes distinctes, de la découverte à la détection par votre scanner :

• Découverte : des chercheurs, fournisseurs ou votre équipe de sécurité identifient des vulnérabilités via des tests d’intrusion, du threat hunting ou de la réponse à incident
• Signalement : vous signalez la vulnérabilité à une CVE Numbering Authority (CNA), une organisation autorisée couvrant le produit concerné
• Demande d’ID CVE : formalise le processus, les CNA évaluant si le problème est qualifié comme vulnérabilité
• Réservation d’ID : la CNA réserve un identifiant CVE pour la vulnérabilité validée, permettant une divulgation coordonnée où les fournisseurs corrigent avant la publication
• Publication : la CNA publie l’enregistrement CVE avec tous les détails, y compris la description, les produits affectés et les recommandations de remédiation

Ce workflow dépend des organisations qui le gèrent. Comprendre qui attribue les identifiants CVE vous aide à savoir où signaler les vulnérabilités et à quelle vitesse elles reçoivent un suivi standardisé.

Qui attribue et gère les CVE

Les CVE Numbering Authorities (CNA) attribuent les identifiants CVE dans leurs périmètres définis, avec des centaines d’opérateurs dans le monde. Les CNA incluent des fournisseurs, des projets open source, des CERT et des plateformes de bug bounty. Ce modèle distribué permet un traitement plus rapide des vulnérabilités qu’une approche centralisée, chaque CNA conservant une expertise sur ses domaines produits spécifiques.

Le programme CNA fonctionne selon une structure hiérarchique. Au sommet, MITRE agit comme CNA principal et administrateur du programme, établissant les politiques et coordonnant le réseau mondial. Les Root CNA gèrent des groupes de CNA dans des domaines ou régions spécifiques. Par exemple, la CISA est Root CNA pour les secteurs d’infrastructures critiques, tandis que le Japan CERT Coordination Center (JPCERT/CC) coordonne les CNA en Asie-Pacifique. Cette hiérarchie garantit des standards cohérents tout en permettant une expertise régionale et des délais de réponse plus courts.

Les grands fournisseurs technologiques opèrent comme CNA pour leurs propres produits. Microsoft, Google, Apple, Cisco et Oracle attribuent chacun des identifiants CVE pour les vulnérabilités découvertes dans leurs logiciels et matériels. Lorsque des chercheurs en sécurité trouvent des vulnérabilités dans ces produits, ils signalent directement à l’équipe sécurité du fournisseur, qui gère l’attribution CVE en parallèle du développement du correctif. Cette intégration accélère le passage de la découverte à la remédiation.

MITRE a établi l’infrastructure de base que vous utilisez aujourd’hui et continue de coordonner le réseau mondial des CNA. MITRE a créé la liste CVE en 1999, mis en place le processus de validation des soumissions et défini les standards d’analyse des vulnérabilités. Le programme est passé d’une seule organisation attribuant des identifiants à un réseau mondial de plus de 300 CNA dans plus de 40 pays, reflétant l’ampleur croissante des vulnérabilités logicielles et le besoin d’expertise distribuée.

Lorsque vous découvrez une vulnérabilité, identifier la bonne CNA détermine la rapidité avec laquelle votre découverte reçoit un identifiant CVE. Commencez par vérifier si le fournisseur concerné opère comme CNA via la liste officielle des CNA sur le site CVE. Si le fournisseur n’est pas CNA, contactez un centre de coordination comme CERT/CC ou signalez via un Root CNA couvrant le secteur concerné. Pour les vulnérabilités dans les projets open source, de nombreux grands projets disposent de leur propre CNA, notamment la fondation Apache Software, l’équipe sécurité du noyau Linux et la Python Software Foundation.

Comment les CVE sont découverts et signalés

Les équipes de sécurité découvrent des vulnérabilités via plusieurs canaux, chacun ayant des caractéristiques distinctes qui influencent la rapidité avec laquelle les CVE reçoivent des identifiants et atteignent vos outils de sécurité.

• La recherche en sécurité représente la principale source de découvertes CVE. Des chercheurs indépendants, des institutions académiques et des équipes sécurité de fournisseurs analysent systématiquement logiciels et matériels pour identifier des faiblesses avant les attaquants. Ces découvertes suivent généralement des pratiques de divulgation responsable, laissant le temps aux fournisseurs de développer des correctifs avant l’annonce publique.
• Les programmes de bug bounty incitent des chercheurs externes à trouver et signaler des vulnérabilités directement aux fournisseurs. Les grandes entreprises technologiques exploitent des programmes de bug bounty ayant permis d’identifier des milliers de CVE. Lorsque les chercheurs soumettent leurs découvertes via ces programmes, la CNA du fournisseur peut immédiatement lancer le processus d’attribution CVE tout en développant la remédiation.
• Le threat hunting et la réponse à incident révèlent souvent des vulnérabilités lors d’investigations actives. Lorsque votre équipe de sécurité enquête sur une activité suspecte, elle peut découvrir que des attaquants exploitent une faiblesse jusque-là inconnue. Ces découvertes entraînent fréquemment des attributions CVE d’urgence et des délais de divulgation accélérés.
• Les tests des fournisseurs lors du développement logiciel détectent des vulnérabilités avant la mise en production. L’analyse statique, les tests dynamiques et la revue de code identifient des faiblesses qui reçoivent des identifiants CVE lorsqu’elles affectent des versions déjà publiées ou lorsque la divulgation sert la communauté sécurité.

Lorsque vous découvrez une vulnérabilité, le processus de signalement suit des directives établies. Le cadre de divulgation coordonnée de FIRST.org fournit la structure suivie par la plupart des organisations : contacter le fournisseur ou la CNA appropriée, fournir des détails techniques suffisants pour la reproduction, et convenir d’un calendrier de divulgation équilibrant sécurité publique et temps de remédiation. La plupart des fournisseurs visent 90 jours pour la remédiation, bien que les vulnérabilités critiques sous exploitation active puissent nécessiter une divulgation plus rapide.

Avec des milliers de CVE publiées chaque année, identifier les types de vulnérabilités présentant le plus grand risque vous aide à prioriser vos efforts de sécurité.

Types courants de vulnérabilités suivies en tant que CVE

Le catalogue des vulnérabilités exploitées connues de la CISA révèle les types de vulnérabilités les plus fréquemment militarisées par les acteurs malveillants :

• Écriture hors limites (CWE-787) se classe n°1, permettant l’exécution de code arbitraire via la corruption de mémoire
• Cross-Site Scripting (CWE-79) se classe n°2, où les attaquants injectent des scripts malveillants dans des applications web exécutés dans les navigateurs des victimes
• Injection SQL (CWE-89) se classe n°3, où les attaquants injectent des commandes SQL malveillantes via des champs de saisie
• Injection de commandes système (CWE-78) se classe n°5, permettant un accès direct au système sans authentification

Comprendre ces schémas de vulnérabilités courants vous aide à reconnaître les menaces zero-day exploitant des faiblesses similaires avant l’attribution d’identifiants CVE.

Connaître les types de vulnérabilités existants n’est qu’une partie du problème. Comprendre comment les attaquants exploitent réellement ces faiblesses éclaire votre stratégie défensive.

Comment les attaquants exploitent les CVE

Les attaquants utilisent les vulnérabilités suivies par CVE selon plusieurs schémas d’attaque principaux.

• Chaînes d’exécution de code à distance utilisant des vulnérabilités d’injection et de corruption de mémoire. Écriture hors limites (CWE-787), injection de commandes (CWE-78) et utilisation après libération (CWE-416) figurent en tête du catalogue KEV de la CISA.
• Contournement d’authentification exploitant une vérification cryptographique faible. La CISA a documenté des produits VPN d’entreprise permettant le contournement SSO via des messages SAML forgés, autorisant un accès non autorisé sans identifiants valides.
• Injection de commandes permettant une compromission directe du système sans authentification. Les attaquants injectent des commandes malveillantes via des formulaires web, des paramètres d’API ou des téléchargements de fichiers. L’application vulnérable exécute ces commandes avec le niveau de privilège de l’application.

Ces schémas d’attaque expliquent pourquoi le suivi CVE est essentiel pour votre programme de gestion des vulnérabilités.

Rôle des CVE dans la gestion des vulnérabilités

Les identifiants CVE vous aident à suivre les vulnérabilités de manière cohérente tout au long des workflows de découverte, d’évaluation, de priorisation, de remédiation et de vérification. Votre scanner de vulnérabilités détecte une faille et lui attribue un identifiant CVE, permettant la corrélation avec des flux de renseignement sur les menaces, des avis fournisseurs et des bases d’exploits. Le croisement du catalogue KEV de la CISA avec votre inventaire d’actifs identifie les actifs contenant des vulnérabilités activement exploitées.

La standardisation CVE fluidifie la communication des workflows

Les numéros CVE servent d’identifiants standardisés qui fluidifient la communication dans vos workflows de gestion des vulnérabilités. Lorsque vous découvrez ou recevez une notification de vulnérabilité, le numéro CVE garantit que chaque membre de l’équipe, outil de sécurité et fournisseur fait référence au même problème avec un libellé cohérent. Cette uniformité réduit les malentendus et accélère la prise de décision, vous permettant de prioriser et coordonner efficacement les efforts de remédiation.

Le point de référence standardisé permet l’intégration avec divers systèmes de sécurité. Vos flux de renseignement sur les menaces, scanners de vulnérabilités et solutions de gestion des correctifs convergent vers un objectif commun : une remédiation rapide et précise des vulnérabilités. Lorsque votre EDR détecte une activité suspecte liée à CVE-2021-44228, votre SIEM la corrèle avec les données de scan de vulnérabilité via le même identifiant. Votre système de ticketing suit la progression de la remédiation sous la même référence, et vos rapports de conformité documentent la réponse avec une terminologie standardisée.

La standardisation CVE simplifie également les processus de reporting et de conformité dans l’ensemble du paysage sécurité de votre organisation. Les évaluations de sécurité, rapports d’audit, présentations au conseil et déclarations réglementaires font tous référence aux mêmes identifiants CVE. Au lieu de passer des heures à vérifier que trois alertes différentes concernent la même vulnérabilité, vous reconnaissez immédiatement CVE-2021-44228 sur tous les systèmes et concentrez votre temps limité sur la remédiation effective.

Coordination des réponses entre outils de sécurité

Les identifiants CVE permettent à votre centre d’opérations de sécurité de prioriser et trier efficacement les vulnérabilités entre des outils de sécurité disparates. Lorsqu’une nouvelle vulnérabilité émerge, l’identifiant CVE fournit un point de référence cohérent. Votre scanner de vulnérabilités signale CVE-2024-12345, votre flux de renseignement sur les menaces fournit le contexte d’exploitation pour CVE-2024-12345, votre système de gestion des correctifs suit le statut de déploiement pour CVE-2024-12345, et votre système de ticketing gère le workflow pour CVE-2024-12345.

Cette standardisation réduit les erreurs de coordination et accélère la prise de décision. Avec la standardisation CVE, vous allouez efficacement les ressources et garantissez que les correctifs sont appliqués de manière cohérente dans l’ensemble de votre entreprise. La référence unifiée permet des workflows autonomes : votre plateforme d’orchestration de sécurité corrèle automatiquement les résultats des scanners avec le renseignement sur les menaces, crée des tickets pour les actifs concernés et suit la progression de la remédiation via un identifiant unique.

Priorisation basée sur le risque

La priorisation nécessite d’aller au-delà des approches basées uniquement sur le CVSS. L’intégration d’EPSS (Exploit Prediction Scoring System) avec le catalogue des vulnérabilités exploitées connues de la CISA améliore l’efficacité en se concentrant sur le faible pourcentage de CVE représentant un risque réellement confirmé.

Commencez par le catalogue KEV de la CISA comme filtre de priorité immédiat. Appliquez les scores de probabilité EPSS aux autres CVE critiques/hautes. Utilisez la catégorisation des vulnérabilités spécifiques aux parties prenantes (SSVC) pour le contexte organisationnel.

Le Cybersecurity Framework 2.0 du NIST organise la gestion des vulnérabilités autour de six fonctions : Gouverner, Identifier, Protéger, Détecter, Répondre et Restaurer.

Si la standardisation CVE apporte des avantages significatifs, le système présente aussi des défis qui impactent vos workflows de gestion des vulnérabilités.

Défis et limites du système CVE

Vos workflows de gestion des vulnérabilités connaissent des défaillances lorsqu’ils dépendent de données NVD incomplètes. Un scanner de vulnérabilités détecte une nouvelle CVE mais la NVD retourne « analyse en attente », vous obligeant à la traiter par défaut comme Critique (créant de la fatigue d’alerte) ou à rechercher manuellement via les avis fournisseurs et les flux de renseignement sur les menaces.

Vous naviguez dans un système traitant 39 450 enregistrements de vulnérabilités en 2025 selon la méthodologie MITRE, ce volume dépassant les ressources d’analyse disponibles.

Limites des données NVD et nécessité d’une intelligence multi-sources

La National Vulnerability Database fournit des scores CVSS et des descriptions de vulnérabilités précieux, mais s’appuyer uniquement sur la NVD pour l’analyse et le suivi crée des lacunes dans votre posture de sécurité. La principale limite de la NVD est l’absence de contexte environnemental : les scores CVSS ne reflètent pas l’exploitabilité réelle ni l’impact spécifique sur votre environnement. Une vulnérabilité notée Critique peut présenter un risque minimal si le composant concerné fonctionne dans un segment réseau isolé sans accès Internet. À l’inverse, une vulnérabilité de gravité moyenne dans une application exposée à Internet traitant des données sensibles peut représenter votre risque prioritaire.

Les données NVD manquent de contexte sur l’état réel de l’exploitation. Si les scores de base CVSS évaluent la gravité théorique, ils n’indiquent pas si des acteurs malveillants exploitent activement la vulnérabilité lors d’attaques réelles. Ce manque d’information crée un risque de mauvaise priorisation : votre équipe peut passer des semaines à corriger des vulnérabilités critiques théoriques tout en négligeant des vulnérabilités de gravité moyenne activement exploitées par les attaquants.

L’important retard de la NVD aggrave ces défis. Selon les mises à jour du programme NVD de NIST, le retard continue de croître alors que les soumissions CVE ont augmenté de 32 % en 2024 tandis que la capacité de traitement reste limitée. Les vulnérabilités récentes affichent souvent le statut « analyse en attente » pendant des semaines ou des mois, laissant les équipes sécurité sans score CVSS durant la période critique où le risque d’exploitation est le plus élevé. Sans intégrer d’autres sources d’intelligence comme les avis fournisseurs, les flux de renseignement sur les menaces et le catalogue des vulnérabilités exploitées connues de la CISA, les organisations risquent de sur-réagir ou de sous-réagir.

Une approche d’intelligence multi-sources est essentielle pour une gestion précise des vulnérabilités. Vous avez besoin des avis fournisseurs pour le contexte produit et les recommandations de remédiation, des flux de renseignement sur les menaces pour les indicateurs d’exploitation et les tactiques, techniques et procédures (TTP) des attaquants, du catalogue KEV de la CISA pour l’état d’exploitation confirmé, et de relations avec la communauté de recherche en sécurité pour une alerte précoce sur les menaces émergentes. Cette approche intégrée garantit une priorisation basée sur le risque réel et non sur la gravité théorique seule.

Autres défis du système

Les règles de comptage CVE créent des limites dans le suivi des vulnérabilités ; certaines faiblesses de sécurité peuvent ne pas recevoir d’ID CVE. Combiné à l’important retard NVD affectant la plupart des CVE récentes, ces lacunes obligent les équipes sécurité à intégrer plusieurs sources d’intelligence, dont les avis fournisseurs, les alertes CISA et les flux de renseignement sur les menaces.

Le modèle CNA distribué améliore la scalabilité mais crée des défis de cohérence. Avec des centaines de CNA opérant dans leurs périmètres définis, la qualité et l’exhaustivité des enregistrements CVE varient.

La gestion des délais dans la divulgation coordonnée dépend d’attentes claires entre découvreurs et fournisseurs plutôt que de règles strictes de décompte des jours. Les équipes sécurité peuvent anticiper les fenêtres de divulgation en comprenant que les fournisseurs fixent généralement des seuils selon la gravité, l’état d’exploitation et la complexité de la remédiation.

Malgré ces défis, des pratiques éprouvées vous aident à gérer efficacement les CVE dans votre programme de gestion des vulnérabilités.

Bonnes pratiques pour la gestion des CVE

Vous devez mettre en œuvre une priorisation basée sur le risque combinant plusieurs sources d’intelligence. Commencez par le catalogue des vulnérabilités exploitées connues de la CISA comme filtre de priorité immédiat. Ces 1 484 vulnérabilités représentent une exploitation active confirmée nécessitant la réponse la plus rapide.

Utiliser le KEV de la CISA pour une priorisation stratégique

Le catalogue des vulnérabilités exploitées connues de la CISA doit constituer la base de votre stratégie de gestion des correctifs. Alignez vos délais de remédiation directement sur l’état d’exploitation : les vulnérabilités listées dans le KEV exigent des fenêtres de réponse de 2 à 7 jours car elles représentent des menaces actives confirmées, et non des risques théoriques. Lorsque la CISA ajoute une vulnérabilité au catalogue KEV, les acteurs malveillants l’exploitent déjà lors d’attaques réelles contre des organisations comme la vôtre.

Utilisez le catalogue KEV pour orienter vos efforts de renseignement sur les menaces au-delà de la remédiation immédiate. Passez régulièrement en revue les nouvelles entrées KEV pour comprendre les tendances d’exploitation actuelles : quels types de vulnérabilités sont priorisés par les acteurs malveillants, quels secteurs ils ciblent, et quelles chaînes d’attaque ils construisent. Cette intelligence éclaire votre stratégie de détection. Si la CISA ajoute des vulnérabilités de contournement d’authentification dans des produits VPN au catalogue KEV, renforcez la surveillance des schémas d’authentification anormaux même si vous avez déjà corrigé la CVE spécifique.

L’intégration du KEV améliore vos capacités de détection et votre préparation à la réponse à incident. Créez des règles de détection ciblant spécifiquement les techniques d’exploitation des vulnérabilités du catalogue KEV. Lorsque la CISA documente que CVE-2024-12345 est exploitée via des requêtes HTTP forgées vers un point de terminaison spécifique, créez des signatures réseau détectant ces schémas de requêtes. Configurez votre SIEM pour corréler automatiquement les tentatives d’exploitation avec votre inventaire d’actifs, identifiant quels systèmes restent vulnérables et nécessitent un correctif d’urgence, et lesquels sont déjà protégés.

Stratégie de gestion des correctifs

Selon des recherches évaluées par des pairs, l’intégration d’EPSS avec le catalogue KEV de la CISA a permis une amélioration de l’efficacité par 18 par rapport aux approches basées uniquement sur le CVSS. Appliquez les délais de correctifs selon l’état d’exploitation et la gravité :

Catégorie de priorité	Délai	Justification
CISA KEV (Exploité connu)	2-7 jours	Exploitation active
Gravité critique + EPSS élevé	7-14 jours	Probabilité d’exploitation élevée
Gravité critique + EPSS faible	30 jours	Aucune preuve d’exploitation
Gravité élevée + EPSS élevé	14-30 jours	Gravité modérée avec exploitation probable
Gravité élevée + EPSS faible	60 jours	Gravité modérée avec risque moindre

Intégrez plusieurs sources d’intelligence : avis fournisseurs, enrichissement autonome des données et relations avec la communauté de recherche en sécurité.

Utilisez l’analyse de la « reachability » pour réduire la charge de remédiation. Les recherches montrent que l’analyse de la reachability peut réduire significativement la charge de travail en identifiant les vulnérabilités présentes dans des bibliothèques mais jamais appelées dans vos déploiements spécifiques.

Maintenez des inventaires d’actifs détaillés avec des classifications de criticité. Suivez les actifs exposés à Internet, les systèmes critiques pour l’activité et ceux traitant des données sensibles. Établissez des SLA de correctifs documentés avec une responsabilité claire. Lors de l’octroi d’exceptions de correctifs, documentez les mesures compensatoires, la durée et l’autorité d’approbation.

La mise en œuvre de ces bonnes pratiques nécessite des outils capables de supporter la détection continue des vulnérabilités et la priorisation intelligente.

Comment SentinelOne aide à gérer le risque CVE

Vous avez besoin d’une détection des vulnérabilités fonctionnant en continu sans scans planifiés. Singularity Vulnerability Management se déploie via les agents SentinelOne existants qui surveillent votre environnement en temps réel. La plateforme détecte les vulnérabilités sur les systèmes d’exploitation et applications via votre parc d’endpoints existant.

La plateforme Singularity offre une visibilité unifiée sur votre environnement de sécurité, corrélant les données de vulnérabilité avec les flux de renseignement sur les menaces pour signaler automatiquement les problèmes nécessitant une réponse immédiate. Lors des évaluations MITRE ATT&CK, SentinelOne a généré 88 % d’alertes en moins que les autres plateformes de sécurité endpoint, produisant seulement 12 alertes contre 178 000 pour les solutions concurrentes. Cette réduction élimine la fatigue liée aux faux positifs tout en garantissant que votre équipe se concentre sur les menaces réelles.

L’intégration à l’écosystème de la Singularity Platform permet une visibilité unifiée sur les capacités Singularity Endpoint, Singularity Cloud, Singularity Identity et Singularity XDR. Les données de vulnérabilité alimentent directement vos workflows de détection et de réponse aux menaces, permettant une action coordonnée lors de l’exploitation active des vulnérabilités. Purple AI accélère les investigations sur les menaces jusqu’à 80 % selon les premiers utilisateurs, fournissant une analyse de sécurité en langage naturel qui renforce les capacités de votre équipe.

Cette approche autonome élimine le décalage entre la publication d’une vulnérabilité et sa détection dans les scans traditionnels. Vous bénéficiez d’une évaluation continue sans la charge d’infrastructure, la consommation de bande passante ou la complexité de planification des scanners réseau.

Planifiez une démonstration avec SentinelOne pour découvrir comment Singularity Vulnerability Management réduit le risque CVE dans votre entreprise grâce à la détection continue, la priorisation autonome et une réponse unifiée aux menaces.

Points clés à retenir

La standardisation CVE résout le problème de communication dans votre pile de sécurité, garantissant que votre scanner, votre flux de menaces et l’avis fournisseur font tous référence aux vulnérabilités via le même identifiant. Avec 39 450 enregistrements CVE annuels et moins de 1 % représentant une exploitation confirmée, une priorisation efficace sépare les charges de travail gérables de la fatigue d’alerte.

Concentrez le temps limité de votre équipe d’abord sur les 1 484 CVE à exploitation confirmée du catalogue KEV de la CISA, puis appliquez le scoring de probabilité EPSS aux vulnérabilités restantes. Les recherches montrent que cette approche intégrée offre une amélioration de l’efficacité par 18 par rapport aux méthodes basées uniquement sur le CVSS tout en détectant davantage de vulnérabilités exploitées.

Le retard de la NVD signifie que vous ne pouvez pas attendre un enrichissement complet. Construisez des pipelines d’intelligence multi-sources s’appuyant sur les avis fournisseurs, les alertes CISA et les flux de menaces en complément des données NVD pour respecter votre fenêtre de remédiation de 2 à 7 jours pour les vulnérabilités activement exploitées.

FAQ

Qu'est-ce qu'un CVE en cybersécurité ?

Un CVE (Common Vulnerabilities and Exposures) est un identifiant standardisé attribué aux vulnérabilités de sécurité divulguées publiquement. Chaque CVE suit le format CVE-YYYY-NNNN, où YYYY correspond à l'année et NNNN à un numéro de séquence unique. 

La société MITRE gère le système CVE, garantissant que les outils de sécurité, les fournisseurs et les chercheurs référencent les vulnérabilités de manière cohérente dans l'industrie.

Qui attribue les numéros CVE ?

Les autorités de numérotation CVE (CNA) attribuent les identifiants CVE dans leurs périmètres définis. Le programme CVE comprend des centaines de CNA : organisations fournisseurs, organisations de recherche, projets open source, organisations CERT et fournisseurs de programmes de bug bounty. 

Ces CNA opèrent dans une structure hiérarchique distribuée coordonnée par MITRE, permettant un suivi plus rapide des vulnérabilités dans l'écosystème mondial de la sécurité.

Quelle est la différence entre un CVE et une vulnérabilité ?

Une vulnérabilité est toute faiblesse de sécurité dans un logiciel ou un matériel. Un CVE est un identifiant standardisé attribué uniquement aux vulnérabilités divulguées publiquement et affectant des logiciels publiés. 

Votre test d'intrusion peut identifier des dizaines de vulnérabilités, mais seules celles répondant aux critères CVE reçoivent des identifiants. Les vulnérabilités zero-day n'obtiennent pas d'ID CVE tant que les fournisseurs n'ont pas préparé de correctifs.

Comment les CVE sont-ils découverts et signalés ?

Les équipes de sécurité découvrent des vulnérabilités grâce à la recherche en sécurité, aux tests des fournisseurs, aux programmes de bug bounty, à la chasse aux menaces et à la réponse aux incidents. 

Lorsque vous identifiez une vulnérabilité, vous la signalez à l’Autorité de Numérotation CVE appropriée en fonction du produit concerné. La divulgation responsable suit les directives de FIRST.org avec des politiques de coordination claires et des délais d’action définis.

Tous les CVE sont-ils activement exploités ?

Non. Sur environ 200 000 CVE connus, le catalogue des vulnérabilités exploitées connues de la CISA ne suit que 1 484 confirmés comme activement exploités, soit moins de 1 %. 

Les équipes de sécurité doivent prioriser ce sous-ensemble confirmé tout en utilisant des approches basées sur les risques comme EPSS pour les autres vulnérabilités.

Comment les organisations doivent-elles prioriser les CVE ?

Commencez par le catalogue KEV de la CISA pour les exploitations confirmées, puis appliquez EPSS pour la probabilité d'exploitation, CVSS pour la gravité et SSVC pour le contexte organisationnel. 

Les recherches montrent que cette approche intégrée offre une amélioration de l'efficacité de 18x par rapport aux méthodes basées uniquement sur le CVSS. Utilisez l'analyse de la joignabilité pour identifier les vulnérabilités non exposées et ajustez en fonction de la criticité des actifs.

Comment les organisations peuvent-elles réduire le risque lié aux CVE ?

Les organisations réduisent le risque lié aux CVE grâce à une approche en couches combinant détection proactive et réponse rapide. Mettez en œuvre une analyse continue des vulnérabilités plutôt que des évaluations périodiques afin d’identifier les nouveaux CVE dès qu’ils affectent votre environnement. Priorisez la remédiation en utilisant le catalogue KEV de la CISA pour les exploitations confirmées et le score EPSS pour la probabilité d’exploitation. 

Maintenez des inventaires d’actifs précis pour identifier rapidement les systèmes concernés lors de la publication de nouveaux CVE. Déployez des contrôles de défense en profondeur incluant la segmentation réseau, la protection des endpoints et les contrôles d’accès afin de limiter l’exposition même en présence de vulnérabilités. Établissez des SLA de correctifs documentés avec une responsabilité claire et des voies d’escalade pour les vulnérabilités critiques.