Les points cl\u00e9s en bref<\/p>\n
- \n
- CVSS mesure la gravit\u00e9, pas l’urgence.<\/strong> Une note critique indique l’ampleur des d\u00e9g\u00e2ts en cas d’exploitation, non sa probabilit\u00e9. C’est pr\u00e9cis\u00e9ment l\u00e0 que les \u00e9quipes surcharg\u00e9es se trompent d’estimation.<\/li>\n
- EPSS et KEV fournissent les signaux manquants.<\/strong> EPSS \u00e9value la probabilit\u00e9 d’exploitation, le catalogue KEV de la CISA indique ce qui est d\u00e9j\u00e0 activement exploit\u00e9. Ce n’est qu’ensemble qu’ils \u00e9tablissent un ordre de traitement.<\/li>\n
- Les niveaux l’emportent sur les listes.<\/strong> Une logique par niveaux selon l’exploitation et l’impact guide le SOC \u00e0 travers le flux, plut\u00f4t que de le laisser traiter 40 000 entr\u00e9es class\u00e9es par CVSS.<\/li>\n<\/ul>\n<\/div>\n
Connexe :<\/span>La v\u00e9rification statique des biblioth\u00e8ques tierces ne suffit plus<\/a> \/<\/span> Le noyau partag\u00e9 est la faille<\/a><\/p>\n
Pourquoi le score CVSS seul induit en erreur<\/h2>\n
Qu’est-ce qu’EPSS ?<\/strong> L’Exploit Prediction Scoring System attribue \u00e0 chaque vuln\u00e9rabilit\u00e9 une probabilit\u00e9 comprise entre 0 et 1 qu’elle soit exploit\u00e9e dans les 30 prochains jours. Il r\u00e9pond \u00e0 une question diff\u00e9rente de celle du CVSS : non pas la gravit\u00e9 des d\u00e9g\u00e2ts, mais la probabilit\u00e9 qu’ils surviennent.<\/p>\n
Cette distinction est d\u00e9terminante au quotidien. CVSS \u00e9value la gravit\u00e9 dans le pire des cas, et c’est pr\u00e9cis\u00e9ment pour cette raison que chaque analyse de vuln\u00e9rabilit\u00e9s accumule des dizaines d’entr\u00e9es class\u00e9es comme critiques. Une \u00e9quipe qui traite cette liste de haut en bas passe des jours sur des failles que personne n’exploitera jamais, tandis qu’une vuln\u00e9rabilit\u00e9 de gravit\u00e9 moyenne avec un exploit actif attend en bas de la liste. La gravit\u00e9 reste pertinente, mais ne constitue pas un ordre de traitement valable.<\/p>\n
\n96 %<\/div>\ndes vuln\u00e9rabilit\u00e9s affichant un score EPSS inf\u00e9rieur \u00e0 10 % n’ont \u00e9t\u00e9 ni exploit\u00e9es ni prioris\u00e9es pour correction. La majeure partie du travail peut donc \u00eatre d\u00e9lib\u00e9r\u00e9ment report\u00e9e.<\/div>\nSource : analyses du mod\u00e8le EPSS (FIRST.org)<\/div>\n<\/div>\nC’est l\u00e0 que na\u00eet le soulagement op\u00e9rationnel. Celui qui reporte d\u00e9lib\u00e9r\u00e9ment les failles \u00e0 faible probabilit\u00e9 d’exploitation gagne du temps pour les vuln\u00e9rabilit\u00e9s avec un exploit actif ou probable. La condition est que la priorisation repose sur plus d’un seul chiffre.<\/p>\n
Trois signaux d\u00e9finissent l’ordre de correction<\/h2>\n
CVSS, EPSS et le catalogue KEV ne sont pas en concurrence – ils r\u00e9pondent \u00e0 des questions diff\u00e9rentes. C’est seulement combin\u00e9s qu’ils donnent un ordre de priorit\u00e9 fiable.<\/p>\n
\n - EPSS et KEV fournissent les signaux manquants.<\/strong> EPSS \u00e9value la probabilit\u00e9 d’exploitation, le catalogue KEV de la CISA indique ce qui est d\u00e9j\u00e0 activement exploit\u00e9. Ce n’est qu’ensemble qu’ils \u00e9tablissent un ordre de traitement.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-finops-voit-tout-mais-ne-peut-rien-pourq-57103323.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-werkzeug-hygiene-im-mittelstand-5-harte-60209410-250x141.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-zero-trust-braucht-prozesswissen-warum-l-6958593-250x143.jpg\")
<\/span>