bige
CVE : de quelle vulnérabilité parle-t-on ?
Une CVE est un identifiant public attribué à une vulnérabilité divulguée. Il aide les mainteneurs, éditeurs et équipes à parler du même problème et à relier les avis. L’identifiant ne dit pas, à lui seul, si le logiciel est installé chez vous ni si votre configuration est concernée.
CWE : quel type de faiblesse est en cause ?
Une CWE décrit une catégorie de faiblesse logicielle, par exemple un contrôle d’accès insuffisant ou une validation manquante. Elle aide à comprendre la famille de défauts et à les prévenir dans le code. Une CWE n’est pas le même objet qu’une CVE publiée.
CVSS : quelle est la sévérité technique ?
Le CVSS résume des caractéristiques d’une vulnérabilité selon une méthode normalisée et produit un score de sévérité. Les métriques environnementales et de menace permettent d’ajouter du contexte. Le score de base n’est pas, seul, une mesure du risque propre à votre organisation.
EPSS : quelle probabilité d’exploitation est estimée ?
L’EPSS, maintenu par le groupe d’intérêt de FIRST, estime chaque jour la probabilité qu’une CVE publiée soit exploitée dans la nature au cours des 30 prochains jours. C’est une estimation à l’échelle de la population observée, pas une prédiction certaine pour un serveur donné.
KEV : une exploitation est-elle connue ?
Le catalogue Known Exploited Vulnerabilities de CISA rassemble les vulnérabilités pour lesquelles une exploitation dans la nature est connue et documentée. Une présence dans KEV apporte un signal différent d’un score CVSS ou EPSS.
Les combiner sans les confondre
Pour décider quoi corriger en premier, rapprocher ces repères de quatre faits locaux : la version affectée est-elle installée ? Le composant est-il utilisé ? Peut-on atteindre le chemin vulnérable ? Quel serait l’impact si l’attaque réussissait ? Une alerte sévère sur un composant absent et une vulnérabilité exploitée sur une route publique ne justifient pas forcément la même action.