FAQ

L’échelle CVSS va de 0.0 à 10.0, et chaque plage de valeur est associée à un niveau de gravité :

• 0.0 : Aucune gravité
• 0.1 à 3.9 : Faible (Low)
• 4.0 à 6.9 : Moyenne (Medium)
• 7.0 à 8.9 : Élevée (High)
• 9.0 à 10.0 : Critique (Critical)

Cette classification permet aux organisations de filtrer les vulnérabilités par gravité, mais elle ne tient pas compte du contexte spécifique à chaque entreprise. C’est pourquoi d’autres critères, comme l’exploitation active ou les actifs concernés, doivent compléter cette évaluation.

CAPEC et CWE sont deux bases complémentaires maintenues par MITRE, mais elles n’ont pas le même objectif. CWE décrit des faiblesses techniques dans le code ou la conception (ex. : absence de validation d’entrée), tandis que CAPEC décrit des méthodes d’attaque exploitant ces faiblesses (ex. : injection SQL).

En d'autres termes, CWE se concentre sur la cause, tandis que CAPEC se concentre sur l'action de l'attaquant. Les deux peuvent être reliés : un modèle CAPEC précise souvent quelles CWE il cible, ce qui permet de faire le lien entre la vulnérabilité théorique, l’exploitation pratique, et les CVE associées.

Le CVSS se décompose en trois sous-scores :

• Score de base : évalue la gravité intrinsèque de la vulnérabilité, indépendamment de tout contexte. Il est généralement public.
• Score temporel : ajuste la note en fonction de facteurs comme la disponibilité d’un exploit ou d’un correctif. Il reflète la maturité de la menace.
• Score environnemental : permet aux organisations d’adapter l’évaluation à leur propre contexte (importance de l’actif, exposition, impact métier). Il est personnalisé à chaque entreprise.

En combinant ces trois couches, le modèle CVSS devient un outil plus souple qui permet d’affiner les priorités de traitement selon la réalité du terrain.

Une CVE est simplement une déclaration publique qu’une faille existe dans un produit donné, tandis qu’une vulnérabilité exploitée signifie qu’un attaquant utilise activement cette faille pour compromettre des systèmes. En d’autres termes, toutes les CVE ne sont pas exploitées en conditions réelles : certaines peuvent rester théoriques ou techniques.

À l’inverse, une vulnérabilité peut être exploitée sans avoir encore reçu de CVE - c’est ce qu’on appelle une zero-day. Pour évaluer le danger réel d’une CVE, il faut consulter des informations complémentaires comme les données KEV de la CISA ou le score EPSS, qui indiquent si la faille est activement utilisée dans des cyberattaques. Ces informations sont disponible directement depuis notre site Internet CVE Find.

Une CVE (Common Vulnerabilities and Exposures) est une faille de sécurité déjà identifiée, documentée et publiée dans une base de données officielle. Elle est connue du public et, en général, des correctifs sont en cours ou déjà disponibles. En revanche, une zero-day est une faille non encore divulguée, donc non enregistrée dans une CVE au moment de sa découverte.

Autrement dit, toute zero-day peut devenir une CVE, mais toutes les CVE ne sont pas des zero-day. Le risque majeur d’une zero-day est justement qu’elle soit exploitable avant même son signalement, alors qu’une CVE est par définition une vulnérabilité en phase de traitement ou de correction.

Les scores EPSS sont mis à jour quotidiennement, ce qui reflète la nature dynamique des menaces et de l’exploitation des vulnérabilités. À tout moment, un changement dans le paysage des attaques (publication d’un exploit, discussion sur un forum, détection dans des honeypots) peut faire varier la probabilité qu’une CVE soit ciblée.

Cette actualisation fréquente fait de l’EPSS un outil plus réactif que le CVSS, dont les scores changent rarement une fois publiés. Pour tirer pleinement parti de l’EPSS, il est donc recommandé d’intégrer des flux ou API automatisés pour suivre les scores en continu.

La source officielle de la base CAPEC est le site web de MITRE. Ce portail permet d’explorer tous les modèles classés par type d’attaque, par complexité, par cible, ou encore par niveau de sophistication. Chaque fiche est accompagnée de définitions précises, d’exemples, et de liens vers d’autres ressources utiles (CWE, ATT&CK, etc.).

Les identifiants CVE sont attribués par une organisation américaine à but non lucratif appelée MITRE Corporation, qui gère le programme CVE au nom de l’Agence de cybersécurité et de sécurité des infrastructures (CISA). MITRE ne distribue pas seule tous les identifiants : elle s’appuie sur un réseau de partenaires appelés CNA (CVE Numbering Authorities).

Un CNA peut être un éditeur de logiciel, un fournisseur de sécurité, un CERT ou une organisation spécialisée en vulnérabilités. Chaque CNA est autorisé à attribuer des identifiants CVE pour les vulnérabilités découvertes dans ses propres produits ou dans son périmètre. Ce système permet d’accélérer la déclaration des failles tout en maintenant une structure centralisée via MITRE.

Le score CVSS est généralement défini par l’organisation qui publie la vulnérabilité, souvent un CNA (CVE Numbering Authority) ou l’éditeur du logiciel concerné. En complément, des entités comme la NVD (National Vulnerability Database) recalculent ou ajustent parfois les scores pour assurer une cohérence entre les CVE publiées.

Des outils automatisés permettent aussi à des chercheurs indépendants, analystes SOC ou fournisseurs de sécurité de recalculer un score sur la base du vecteur CVSS publié. Cela signifie qu’une même CVE peut avoir plusieurs scores légèrement différents selon le contexte et l’évaluateur, ce qui pousse à croiser les sources pour les décisions critiques.

Le modèle EPSS est développé et maintenu par la communauté FIRST (Forum of Incident Response and Security Teams), en collaboration avec des chercheurs, des analystes de données et des professionnels de la cybersécurité. Il s'agit d'un projet ouvert et collaboratif, dont les méthodes sont documentées publiquement, et les résultats mis à jour régulièrement.

Ce modèle repose sur des données statistiques massives et des techniques de machine learning. Il est conçu pour être transparent, reproductible et accessible gratuitement, ce qui en fait un outil fiable et adapté aux besoins opérationnels des équipes de sécurité, même en dehors du périmètre américain ou gouvernemental.

La liste des CWE est maintenue par la MITRE Corporation, la même organisation qui gère le programme CVE. MITRE est soutenue par le département américain de la sécurité intérieure (DHS) et d'autres acteurs publics et privés pour développer et actualiser cette base de connaissances.

La communauté joue également un rôle clé : chercheurs, éditeurs, gouvernements et industriels peuvent proposer de nouvelles faiblesses, suggérer des modifications, ou partager des retours d’expérience sur l’utilité des entrées existantes. La base est publique, accessible librement en ligne, et continuellement enrichie pour refléter les évolutions des technologies et des techniques d’attaque.

Les professionnels de la cybersécurité sont les principaux utilisateurs des CAPEC : analystes SOC, experts en tests d’intrusion, architectes sécurité, développeurs, formateurs ou équipes de threat intelligence. Ils s’en servent pour comprendre les tactiques adverses, préparer des scénarios de tests, et renforcer les défenses.

Par exemple, un pentester peut utiliser un CAPEC pour structurer une attaque simulée selon un scénario réaliste. Un développeur peut y trouver des indications sur les erreurs de conception à éviter. Un RSSI peut les intégrer dans des analyses de risques pour mieux illustrer les conséquences potentielles d’une faiblesse technique.

Oui, un score CVSS peut évoluer au fil du temps, surtout si de nouvelles informations apparaissent. Par exemple, un exploit public, un contournement de correctif ou une preuve d’exploitation active peuvent amener les analystes à réviser le score temporel ou même le vecteur de base si une erreur d’évaluation initiale est détectée.

De plus, des outils automatisés comme ceux de la NVD mettent à jour régulièrement les scores CVSS selon les données de terrain et les publications. Il est donc recommandé aux entreprises de revalider périodiquement leurs analyses, notamment pour les vulnérabilités critiques.