Une CVE identifie une vulnérabilité connue. Sa criticité technique est utile, mais la priorité réelle dépend aussi de l’exposition, de l’élément concerné, de son usage et de son importance pour l’activité.
Que signifie une CVE ?
Une référence CVE fournit un identifiant commun pour parler d’une faiblesse connue dans un produit ou une version. Elle permet de rapprocher différentes sources d’information et correctifs.
Pourquoi le score CVSS ne suffit-il pas ?
Un score élevé indique une sévérité technique, mais ne dit pas si le produit est présent, exposé ou critique pour votre organisation. Une bonne priorisation ajoute ce contexte.
Que faut-il surveiller ?
La disponibilité d’un correctif, l’existence d’un exploit connu, l’exposition du service, les mesures compensatoires et la criticité de l’élément concerné sont des éléments majeurs.
Comment éviter le bruit ?
La corrélation entre inventaire, constructeur, produit et version permet d’écarter une grande partie des vulnérabilités non pertinentes et de concentrer les équipes sur les cas réellement applicables.
Exemple concret
Une CVE critique touche un logiciel utilisé uniquement sur un poste isolé, tandis qu’une CVE moins élevée concerne une passerelle exposée à Internet. Le contexte peut conduire à traiter la seconde en priorité.
Ce que l’entreprise y gagne
Des alertes moins nombreuses mais plus exploitables, et un temps de traitement consacré aux vulnérabilités réellement pertinentes.
Comment RISQANCE accompagne cette démarche
RISQANCE centralise les informations utiles et leur contexte afin de conserver une vision cohérente et exploitable dans le temps.
Questions fréquentes
Toutes les CVE doivent-elles être corrigées immédiatement ?
Non. La priorité dépend de l’applicabilité, de l’exposition, de la criticité et des mesures de protection existantes.
Une CVE critique signifie-t-elle qu’une attaque est en cours ?
Non. Elle décrit une vulnérabilité connue ; il faut ensuite évaluer si elle est exploitable dans votre contexte.