Comment lire un CVE (et que faire ensuite)

Un CVE est un identifiant normalisé pour une faille de sécurité. Le lire correctement vous permet de distinguer un risque théorique d’une urgence critique.

Le CVE n’est pas un verdict, c’est une référence

Quand un fournisseur ou un CERT publie « CVE-2026-XXXX », c’est une référence, pas une alerte. La véritable question est : est-ce que cette faille s’applique à mon système, mes données, ma fenêtre d’exposition ? Une PME qui suit 50 000 flux de threat-intel en temps réel va se noyer. Une PME qui lit 5 CVE par semaine correctement va s’en sortir.

La plupart des CVE sont publiés en vrac. Certains n’affectent qu’une bibliothèque obscure que vous n’utilisez pas. D’autres touchent le pare-feu qui protège toute votre DMZ. Sans méthode de lecture, vous traitez les deux avec la même panique, ou — pire — vous les ignorez tous les deux.

Anatomie d’un identifiant CVE

Un identifiant CVE suit le format CVE-ANNÉE-NNNN (parfois CVE-ANNÉE-NNNNNN depuis 2024). L’année est l’année de réservation, pas de découverte ni de publication. Le NNNN est séquentiel. Trois propriétés à retenir :

1. Un CVE n’est pas unique à un produit. Un seul CVE peut couvrir plusieurs produits touchés par la même classe de faille. Exemple : une CVE Apache peut toucher 12 distributions Linux.
2. Un produit n’est pas unique à une CVE. Un seul produit peut avoir 50 CVE ouvertes en parallèle, chacune couvrant un composant ou une version différente.
3. L’identifiant ne change pas. Même si l’exploit devient critique, même si un patch sort, l’identifiant reste. C’est votre point d’entrée stable dans NVD, MITRE, et les bulletins fournisseurs.

Les 5 champs que vous devez lire

La base NVD (nvd.nist.gov) publie une fiche pour chaque CVE. Vous n’avez pas besoin de tout lire. Cinq champs suffisent pour 80 % de vos décisions :

1. CVSS Score (3.1). Un nombre entre 0.0 et 10.0. 9.0+ = critique, 7.0-8.9 = élevé, 4.0-6.9 = moyen, en-dessous = faible. C’est le seul chiffre que vos outils SIEM vont vous balancer en alarme.
2. Vector string. Décrit le vecteur d’attaque sous forme codée : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H signifie réseau, complexité basse, pas de privilège, pas d’interaction, portée inchangée, impact élevé sur confidentialité, intégrité, disponibilité. Si vous voyez AV:L (local) au lieu de AV:N (réseau), l’urgence baisse pour la plupart des PME.
3. Affected products (CPE). Liste les versions vulnérables. Si votre version n’est pas listée, vous n’êtes pas concerné. Si votre version est listée mais marquée affected, vous l’êtes.
4. Description. Souvent sec, mais les 2-3 phrases résument la mécanique de la faille. Cherchez les mots unauthenticated, remote code execution, authentication bypass, information disclosure. Ces mots sont vos vrais déclencheurs.
5. References. Liens vers les bulletins fournisseurs et les PoC publics. Si un PoC est public (sur GitHub, Exploit-DB, Twitter), le score d’urgence grimpe d’un cran — l’exploitation n’est plus théorique.

Le filtre SMB : 3 questions avant de patcher

Pour une PME de 20-200 personnes, la plupart des CVE « critiques » du flux RSS ne s’appliquent pas. Trois questions pour filtrer :

1. Est-ce que j’utilise ce produit en production ? Si la réponse est « non, on l’a évalué mais on n’a pas acheté », fermez l’onglet. La CVE n’est pas pour vous.
2. Est-ce que mon exposition réseau inclut la surface d’attaque ? Une CVE avec AV:N (réseau) sur un service exposé uniquement en interne (127.0.0.1 ou réseau de management) reste locale pour vous. Une CVE avec AV:N sur un service exposé sur Internet (0.0.0.0) est votre problème.
3. Quel est le coût du correctif vs le coût de l’exploitation ? Un redémarrage de 2 minutes un mardi à 14h coûte 0 €. Une fuite de données de 50 000 fiches clients coûte 250 000 € (médiane SMB française, source : CNIL 2024). Quand le coût de l’inaction dépasse 100x le coût du correctif, patchez maintenant.

Le piège du score CVSS brut

Un CVE avec un score 9.8 n’est pas automatiquement critique pour vous. Le CVSS mesure l’impact technique potentiel dans des conditions idéales d’exploitation. Il ne mesure pas :

• L’existence d’un exploit public (un 9.8 sans PoC est moins urgent qu’un 7.5 avec PoC)
• La valeur des actifs exposés (un 9.8 sur un serveur de logs isolés est moins urgent qu’un 7.5 sur votre serveur de paiement)
• La détectabilité (une faille exploitée en silence pendant 6 mois est plus coûteuse qu’une faille qui crash le service)

Pour les PME, le EPSS (Exploit Prediction Scoring System, epss.empiricalsecurity.com) est souvent plus utile que le CVSS. L’EPSS donne une probabilité statistique qu’un CVE sera exploité dans les 30 prochains jours. Une CVE avec CVSS 9.8 et EPSS 0.03 est statistiquement moins risquée qu’une CVE avec CVSS 7.5 et EPSS 0.45.

Priorisation pragmatique : 3 listes

Triez vos CVE lues en 3 listes :

• À patcher cette semaine : CVSS ≥ 7.0 ET EPSS ≥ 0.10 ET CPE affecte un actif exposé. Cette liste contient typiquement 0-2 CVE par semaine pour une PME.
• À patcher ce mois-ci : CVSS ≥ 4.0 OU EPSS ≥ 0.05 sur des actifs exposés. Cette liste contient 5-15 CVE par mois.
• À surveiller : tout le reste. Notez dans un tableur, ne bloquez pas votre semaine dessus.

Le bon outil : un tableur partagé

Pas besoin d’un SIEM à 100k€/an. Un tableur partagé (Google Sheets, Notion, ou même un CSV) avec 7 colonnes suffit :

Mettez-y 15 minutes par semaine, c’est 80 % du gain. Les 20 % restants viennent de l’automatisation (Dependabot, Renovate, wpscan) qui remplit le tableur pour vous.

Ce qu’il ne faut PAS faire

• Tout patcher en urgence sur réception d’un email CERT. Le CERT est un flux d’information, pas un canal de commande. Décidez vous-même.
• Ignorer les CVE à CVSS faible. Les attaquants chaînent 3-4 CVE « faibles » pour atteindre un impact « critique ». La CVE « moyenne » qui vous expose à un mouvement latéral est plus urgente qu’une CVE « critique » sur un système isolé.
• Patcher en production le vendredi soir. Les CVE sont urgentes, pas catastrophiques. Le correctif qui casse un service à 18h un vendredi coûte 10x plus cher que le même correctif appliqué mardi à 14h.
• Se fier au score EPSS comme vérité absolue. C’est une probabilité statistique, pas une garantie. EPSS 0.03 ne veut pas dire « inoffensif », ça veut dire « 3 % de chance d’être exploité dans les 30 jours ».

Lecture complémentaire

Si vous voulez creuser, deux ressources :

• NVD CPE Dictionary (nvd.nist.gov) — pour vérifier si votre version exacte d’un produit est affectée
• CISA Known Exploited Vulnerabilities (cisa.gov/known-exploited-vulnerabilities-catalog) — la liste des CVE confirmées comme exploitées dans la nature, mises à jour quotidiennement

Lisez le CVE comme vous lisez une ordonnance médicale : un point de départ pour la conversation, pas le diagnostic final. Le diagnostic, c’est votre exposition, vos actifs, votre fenêtre de maintenance. Ces trois-là ne sont pas dans le score CVSS.