L’essentiel en bref<\/p>\n
- \n
- Directive :<\/strong> la BOD 26-04 du 10 juin 2026 pilote la rem\u00e9diation selon quatre variables et remplace les BOD 19-02 et 22-01 pour les agences FCEB (Federal Civilian Executive Branch) des \u00c9tats-Unis ; la CISA recommande des mesures comparables \u00e0 tous ses partenaires.<\/li>\n
- KEV avant EPSS :<\/strong> FIRST (Forum of Incident Response and Security Teams) recommande, en cas d’inscription au KEV, une priorisation ind\u00e9pendante du score EPSS ; le 90e percentile de l’EPSS se situe vers 0,04 (4 %), la m\u00e9diane de la population de CVE (Common Vulnerabilities and Exposures) vers 0,7 %.<\/li>\n
- Triage obligatoire :<\/strong> pour les combinaisons de risque les plus \u00e9lev\u00e9es, la politique impose des d\u00e9lais tr\u00e8s courts, triage forensique inclus, car un correctif seul ne retire pas un attaquant d\u00e9j\u00e0 pr\u00e9sent.<\/li>\n<\/ul>\n<\/div>\n
Voir aussi :<\/strong> Anthropic : Claude a pirat\u00e9 trois entreprises<\/a> \u00b7 Codex Security : un client ouvert alimente OpenAI<\/a><\/p>\n
La BOD 26-04 r\u00e8gle l’urgence par quatre variables de risque<\/h2>\n
Avec la Binding Operational Directive 26-04 (Prioritizing Security Updates Based on Risk) du 10 juin 2026, la CISA consolide les consignes de rem\u00e9diation et abroge la BOD 19-02 du 29 avril 2019 ainsi que la BOD 22-01 du 3 novembre 2021. La directive s’impose aux agences FCEB des \u00c9tats-Unis. Nick Andersen, directeur par int\u00e9rim de la CISA, met l’accent sur le risque le plus \u00e9lev\u00e9 et invite tous les partenaires \u00e0 inscrire des mesures comparables dans leur propre politique.<\/p>\n
Qu’est-ce que l’EPSS ?<\/strong> EPSS d\u00e9signe l’Exploit Prediction Scoring System. Il estime, pour une vuln\u00e9rabilit\u00e9, la probabilit\u00e9 qu’elle soit r\u00e9ellement exploit\u00e9e dans les 30 prochains jours. Le score CVSS (Common Vulnerability Scoring System) d\u00e9crit, lui, la gravit\u00e9. L’EPSS est recalcul\u00e9 chaque jour.<\/p>\n
Quatre variables r\u00e8glent l’urgence : l’exposition publique, le statut dans le catalogue Known Exploited Vulnerabilities (KEV), l’automatisabilit\u00e9 de l’exploitation et l’impact technique (Partial versus Total Control). Sur le plan de m\u00e9thode, la BOD 26-04 renvoie dans l’Appendix A \u00e0 la Stakeholder-Specific Vulnerability Categorization (SSVC) du CERT\/CC et du Carnegie Mellon SEI (Software Engineering Institute). Un risque faible peut attendre la prochaine mise \u00e0 niveau du syst\u00e8me. Les combinaisons les plus \u00e9lev\u00e9es exigent des d\u00e9lais tr\u00e8s courts, triage forensique inclus. La matrice compl\u00e8te des SLA (Service Level Agreements, Table 1: Remediation Timelines) se cite depuis le site de la CISA ; le plan interne doit la r\u00e9f\u00e9rencer \u00e0 l’identique, sans la reconstruire.<\/p>\n
La CISA justifie aussi le passage du \u00ab tout est \u00e9galement urgent \u00bb au correctif fond\u00e9 sur le risque par l’usage de l’IA chez les attaquants : les fen\u00eatres entre correctif et exploitation se r\u00e9duisent. Dans le m\u00eame temps, une mise \u00e0 jour seule ne retire pas un attaquant d\u00e9j\u00e0 pr\u00e9sent. Dans les cas les plus urgents, le triage forensique fait partie de la r\u00e9ponse exig\u00e9e par la politique, et non d’un rattrapage facultatif.<\/p>\n
Le KEV reste le d\u00e9clencheur ferme d’un traitement imm\u00e9diat<\/h2>\n
La CISA recommande \u00e0 toutes les organisations d’int\u00e9grer le catalogue KEV comme entr\u00e9e du cadre de priorisation et de traiter sans d\u00e9lai les vuln\u00e9rabilit\u00e9s KEV dans le plan de gestion des vuln\u00e9rabilit\u00e9s. L’inscription au KEV suppose trois crit\u00e8res : un identifiant CVE, une preuve solide d’exploitation active in the wild et une action de rem\u00e9diation claire.<\/p>\n
Selon la CISA, un code de preuve de concept, le simple scanning et la recherche en s\u00e9curit\u00e9 ne valent pas active exploitation pour le catalogue KEV. Le catalogue se distingue ainsi de la masse des CVE et devient une liste de priorit\u00e9 ferme. Pour les \u00e9quipes DACH (Allemagne, Autriche, Suisse), cela implique de relier les entr\u00e9es KEV, dans l’inventaire et l’outil de tickets, \u00e0 l’exposition des actifs et \u00e0 la posture de contr\u00f4le, au lieu de les archiver comme une simple liste de signalement. Des programmes de la CISA comme Vulnrichment et Continuous Diagnostics and Mitigation (CDM) confirment le m\u00eame cap : des signaux exploitables et d\u00e9j\u00e0 prioris\u00e9s.<\/p>\n
L’EPSS mesure une probabilit\u00e9, pas la s\u00e9v\u00e9rit\u00e9 ni le risque global<\/h2>\n
L’Exploit Prediction Scoring System (EPSS), sous l’\u00e9gide de FIRST (Forum of Incident Response and Security Teams), op\u00e9r\u00e9 par l’EPSS Special Interest Group avec des scores d’Empirical Security, estime la probabilit\u00e9 qu’une CVE publi\u00e9e soit exploit\u00e9e in the wild dans les 30 jours. Les scores sont disponibles chaque jour et libres d’usage.<\/p>\n
\nPriorisation en quatre \u00e9tapes<\/p>\n
- \n
- ✓<\/span>Confronter tous les actifs \u00e0 la liste KEV et planifier d’abord les correspondances.<\/li>\n
- ✓<\/span>Pour le reste, relever la valeur EPSS et fixer le seuil par \u00e9crit dans l’\u00e9quipe.<\/li>\n
- ✓<\/span>V\u00e9rifier l’exposition : joignable depuis Internet, apr\u00e8s authentification, ou cloisonn\u00e9e en interne.<\/li>\n
- ✓<\/span>Seulement ensuite, prendre le score CVSS en appoint, jamais comme seul crit\u00e8re.<\/li>\n<\/ul>\n<\/div>\n
FIRST d\u00e9finit l’EPSS explicitement comme une probabilit\u00e9 calibr\u00e9e, non comme un score de s\u00e9v\u00e9rit\u00e9 ou un score de risque complet. L’organisation doit ajouter elle-m\u00eame la pr\u00e9sence, la reachability et la cons\u00e9quence. Rep\u00e8re pour les programmes qui quittent le CVSS Critical : l’\u00e9quivalent EPSS approximatif du 90e percentile se situe vers 0,04 (4 %). Un seuil de 50 % d\u00e9priorise l’essentiel de la population de CVE ; la m\u00e9diane tourne autour de 0,7 %, la moyenne autour de 2,8 %.<\/p>\n
FIRST met en garde contre le score laundering : multiplier l’EPSS par des valeurs CVSS ordinales ne produit aucun score de risque combin\u00e9 interpr\u00e9table. L’EPSS reste utile pour la grande masse des CVE hors KEV. Un EPSS bas et une inscription au KEV ne s’excluent pas. En cas d’inscription au KEV, FIRST recommande de prioriser ind\u00e9pendamment du score EPSS.<\/p>\n
Les \u00e9tudes de fournisseurs montrent les limites des piles de scores et de l’alerte pr\u00e9coce<\/h2>\n
Selon une contribution de S\u0131la \u00d6zeren Hac\u0131o\u011flu (Picus Security, 16 avril 2026), combiner EPSS, Common Vulnerability Scoring System (CVSS) et KEV de la CISA peut fortement r\u00e9duire la charge de priorisation urgente ; Picus avance \u00ab jusqu’\u00e0 95 % \u00bb. Seul, l’EPSS reste global et ignore les contr\u00f4les propres \u00e0 l’organisation. Picus ajoute que la validation des contr\u00f4les prime sur le seul empilement de scores : la situation locale d\u00e9cide si le chemin d’exploitation est bloqu\u00e9. Cela prolonge la logique de la CISA et de FIRST, tout en servant l’int\u00e9r\u00eat commercial d’une plateforme de BAS (Breach and Attack Simulation) et de validation des contr\u00f4les.<\/p>\n
\nD\u00e9finition · Catalogue KEV<\/p>\n
Le catalogue Known Exploited Vulnerabilities de la CISA recense les vuln\u00e9rabilit\u00e9s dont l’exploitation in the wild est \u00e9tablie. Une entr\u00e9e y est un fait constat\u00e9, non une pr\u00e9vision. Les agences f\u00e9d\u00e9rales des \u00c9tats-Unis y sont tenues par des d\u00e9lais ; pour tous les autres, la liste est un filtre qui fonde l’urgence sans hypoth\u00e8se de mod\u00e8le.<\/p>\n<\/div>\n
Tally Netzer (Nucleus Security, 12 mai 2026) rend compte d’un \u00e9chantillon de 22 des 122 ajouts au KEV entre octobre 2025 et mars 2026 : le mouvement m\u00e9dian de l’EPSS apr\u00e8s inscription au KEV \u00e9tait environ 121 fois plus important qu’avant ; la plus forte hausse de l’EPSS se situait \u00e0 KEV plus deux jours. Nucleus en tire que les \u00e9quipes prennent \u00e0 tort l’EPSS pour une alerte pr\u00e9coce, alors que, pour beaucoup de CVE du KEV, la hausse n’arrive qu’apr\u00e8s la confirmation publique au catalogue. Cela rejoint la position de FIRST : l’EPSS est une probabilit\u00e9 de population, pas un substitut au KEV ni au contexte local.<\/p>\n
Points de contr\u00f4le pour la gestion des vuln\u00e9rabilit\u00e9s dans l’espace DACH<\/h2>\n
Le catalogue KEV est une entr\u00e9e fixe du cadre de priorisation : chaque nouvel ajout d\u00e9clenche un rapprochement d’actifs, un contr\u00f4le d’exposition et un ticket de rem\u00e9diation avec responsable et \u00e9ch\u00e9ance. L’EPSS sert \u00e0 trier le volume hors KEV, par exemple d\u00e8s le 90e percentile comme limite de travail, sans multiplier CVSS et EPSS. Les quatre variables de la BOD deviennent des champs de politique : expos\u00e9 \u00e0 Internet oui\/non, KEV oui\/non, automatisabilit\u00e9, impact Partial Control ou Total Control.<\/p>\n
Pour la classe de risque la plus \u00e9lev\u00e9e, les \u00e9tapes de triage forensique se d\u00e9finissent \u00e0 l’avance : vue des journaux et des endpoints, recherche d’IOC (Indicators of Compromise), isolement et preuve qu’aucun attaquant n’\u00e9tait d\u00e9j\u00e0 actif avant le correctif. Les combinaisons basses peuvent \u00eatre report\u00e9es sciemment \u00e0 la prochaine mise \u00e0 niveau, si le report est document\u00e9 et approuv\u00e9. Les rapports au conseil et aux instances de surveillance gagnent \u00e0 suivre des indicateurs : part des correspondances KEV encore ouvertes selon l’exposition, d\u00e9lai m\u00e9dian de rem\u00e9diation pour le KEV et part de la population de CVE au-dessus du seuil EPSS retenu.<\/p>\n
Les organisations qui utilisent l’empilement CVSS, EPSS et KEV devraient traiter la validation des contr\u00f4les et la reachability comme quatri\u00e8me et cinqui\u00e8me couches. La priorisation reste ainsi interpr\u00e9table, sans faire d’une hausse de l’EPSS un substitut du d\u00e9clencheur KEV ou de la situation locale des actifs.<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
\nLa BOD 26-04 vaut-elle aussi pour les entreprises de l’espace DACH ?<\/strong><\/summary>\n
De fa\u00e7on contraignante, la BOD 26-04 vise les agences FCEB des \u00c9tats-Unis. Nick Andersen, directeur par int\u00e9rim de la CISA, invite tous les partenaires \u00e0 reprendre dans leur propre politique des mesures comparables, centr\u00e9es sur le risque. Pour les organisations DACH, le texte est une base solide de gestion des vuln\u00e9rabilit\u00e9s, non le droit allemand.<\/p>\n<\/details>\n
\nQuand une CVE entre-t-elle dans le catalogue KEV de la CISA ?<\/strong><\/summary>\n
Selon la CISA, trois crit\u00e8res sont requis : un identifiant CVE, une preuve solide d’exploitation active in the wild et une action de rem\u00e9diation claire. Le PoC, le scanning et la seule recherche en s\u00e9curit\u00e9 ne comptent pas comme active exploitation pour le KEV.<\/p>\n<\/details>\n
\nComment employer l’EPSS \u00e0 c\u00f4t\u00e9 du KEV et du CVSS ?<\/strong><\/summary>\n
FIRST positionne l’EPSS comme une probabilit\u00e9 calibr\u00e9e d’exploitation \u00e0 30 jours. En cas d’inscription au KEV, les \u00e9quipes priorisent ind\u00e9pendamment du score EPSS. L’EPSS trie le gros du volume hors KEV. Multiplier l’EPSS par le CVSS (score laundering) ne produit, selon FIRST, aucun score de risque interpr\u00e9table.<\/p>\n<\/details>\n
\nPourquoi le correctif ne suffit-il pas dans les cas les plus critiques ?<\/strong><\/summary>\n
La BOD 26-04 souligne qu’une mise \u00e0 jour ne retire pas un attaquant d\u00e9j\u00e0 pr\u00e9sent. Pour les combinaisons de risque les plus \u00e9lev\u00e9es, des d\u00e9lais de rem\u00e9diation tr\u00e8s courts sont pr\u00e9vus, triage forensique inclus. La CISA signale en outre des fen\u00eatres de r\u00e9action plus courtes li\u00e9es \u00e0 l’usage de l’IA c\u00f4t\u00e9 attaquant.<\/p>\n<\/details>\n
\nQuel seuil EPSS retenir comme limite de travail ?<\/strong><\/summary>\n
FIRST indique comme rep\u00e8re le 90e percentile, vers 0,04 (4 %). Un seuil de 50 % d\u00e9priorise l’essentiel de la population de CVE ; m\u00e9diane et moyenne se situent respectivement autour de 0,7 % et de 2,8 %. Le seuil doit \u00eatre compl\u00e9t\u00e9 par la pr\u00e9sence, la reachability et la cons\u00e9quence de son propre environnement.<\/p>\n<\/details>\n
<\/p>\n
S\u00e9lection de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-20-250x141.jpg\")
<\/span>\u00c0 lire<\/span>Anthropic : Claude a compromis trois entreprises<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/codex-security-cli-open-source-backend-beta-cover-hero-250x141.jpg\")
<\/span>\u00c0 lire<\/span>Codex Security : Client ouvert alimente OpenAI<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/zabbix-xss-offen-monitoring-zugang-neu-absichern-cover-hero-1-250x141.jpg\")
<\/span>\u00c0 lire<\/span>CERT-Bund retire l\u2019avertissement Zabbix apr\u00e8s 24 heures<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/08\/net-herunterladbar-heisst-nicht-betreibbar-29798347.jpg\")
<\/span>cloudmagazin<\/span>T\u00e9l\u00e9chargeable ne signifie pas exploitable<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/08\/net-art-50-transparenzpflichten-rollen-revie-25397208-250x141.jpg\")
<\/span>Digital Chiefs<\/span>R\u00e8glement sur l\u2019IA : jusqu\u2019\u00e0 3 % du chiffre d\u2019affaires du groupe<\/span><\/span><\/a><\/p>\nSource de l’image : g\u00e9n\u00e9r\u00e9e par IA (ao\u00fbt 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"La BOD 26-04 fixe la priorit\u00e9 des correctifs via le KEV, l’exposition et l’impact. Les CISO croisent EPSS et KEV sans score laundering.","protected":false},"author":10,"featured_media":22911,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"KEV EPSS priorisation","_yoast_wpseo_title":"KEV apr\u00e8s BOD 26-04 - EPSS trie le reste","_yoast_wpseo_metadesc":"La BOD 26-04 fixe la priorit\u00e9 des correctifs via le KEV, l'exposition et l'impact. Les CISO croisent EPSS et KEV sans score laundering.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/08\/bod-26-04-kev-und-epss-richtig-priorisieren-cover-hero.jpg","_yoast_wpseo_opengraph-image-id":22911,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/08\/bod-26-04-kev-und-epss-richtig-priorisieren-cover-hero.jpg","_yoast_wpseo_twitter-image-id":22911,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-23148","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":11,"wpml_language":"fr","wpml_translation_of":22905,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/23148","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=23148"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/23148\/revisions"}],"predecessor-version":[{"id":24405,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/23148\/revisions\/24405"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22911"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=23148"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=23148"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=23148"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- ✓<\/span>Pour le reste, relever la valeur EPSS et fixer le seuil par \u00e9crit dans l’\u00e9quipe.<\/li>\n
- KEV avant EPSS :<\/strong> FIRST (Forum of Incident Response and Security Teams) recommande, en cas d’inscription au KEV, une priorisation ind\u00e9pendante du score EPSS ; le 90e percentile de l’EPSS se situe vers 0,04 (4 %), la m\u00e9diane de la population de CVE (Common Vulnerabilities and Exposures) vers 0,7 %.<\/li>\n