Domaine de recherche · Renseignement sur les menaces

Évaluer vulnérabilités et menaces – avant que la fenêtre ne se referme

Vami Research analyse et met rapidement en contexte les nouvelles vulnérabilités et les incidents – avec des notes de situation qui indiquent les versions concernées, les chemins d'attaque et les mesures immédiates. La priorisation s'appuie sur CVSS, EPSS et le catalogue KEV de la CISA. Dark Web Monitoring, détection des attaques, MDR et exercices de résilience comblent l'écart entre le signal et la mesure.

Notes de situation
CVSS · EPSS · KEV
Dark Web Monitoring
SIEM · EDR · NDR
MDR
Cyber-résilience
Méthodologie CACS

Planifier un premier entretien Voir les publications

Deep Dives: 7
Livres blancs: 0
Solutions: 1

Contexte

Plus de vulnérabilités, des fenêtres de réaction plus courtes

Selon le rapport 2025 du BSI sur l'état de la sécurité informatique, 119 nouvelles vulnérabilités en moyenne ont été rendues publiques chaque jour entre juillet 2024 et juin 2025 ; les attaques d'exploitation mesurées sur les honeypots du BSI ont augmenté de 38 %. Une information de sécurité IT du BSI classe les effets de l'évolution de l'IA au niveau de criticité 2 (« jaune ») : l'IA réduit l'effort, le temps et les barrières d'entrée pour les capacités offensives. Face à de tels volumes, tout patcher immédiatement n'est pas une stratégie.

Pour les failles rendues publiques, notre rôle est l'analyse et la mise en contexte rapides. Les failles PHP2Shell ont été divulguées le 21 octobre 2026 par Wiz Research, Calif, OpenAI et le projet PHP ; notre note de situation est parue le même jour. Une note de situation sur Brotli2Shell a suivi le 27 octobre 2026, puis, le 31 octobre 2026, une analyse de l'extension Claude Code manipulée sur la marketplace de Cursor – chacune avec les versions concernées, les étapes de vérification et des mesures immédiates concrètes.

Ce domaine de recherche relie ces notes de situation à l'exploitation courante : gestion des vulnérabilités fondée sur les risques, External Attack Surface Management, Dark Web Monitoring, détection des attaques avec SIEM, EDR et NDR, technologies de leurre, MDR ainsi que gestion de la continuité d'activité selon le standard BSI 200-4 et l'ISO 22301. Pour les gestionnaires de réseau du secteur de l'électricité s'y ajoute la classification des cyberattaques selon la méthodologie CACS.

Questions de recherche

Les questions ouvertes du terrain

01
Quelle vulnérabilité corrigez-vous en premier lorsque plus de cent nouvelles sont publiées chaque jour ?
Notre approche
Nous priorisons à l'aide de trois signaux : CVSS 4.0 pour la gravité technique, EPSS pour la probabilité d'une exploitation dans les 30 prochains jours, le catalogue KEV de la CISA pour l'exploitation avérée. Les découvertes listées dans KEV sur des systèmes accessibles passent en tête. Nous échelonnons les délais selon le risque, par exemple sur le modèle de la directive BOD 26-04 de la CISA ; pour les zero-days sans correctif, des mesures de substitution comme le patching virtuel prennent le relais.
02
Comment transformer l'annonce d'une faille critique en un plan que les équipes d'exploitation peuvent appliquer immédiatement ?
Notre approche
Nos notes de situation sur PHP2Shell et Brotli2Shell indiquent la cause, les versions corrigées, les chemins d'attaque et un plan en 7 points, ainsi qu'un contrôle d'exposition. Pour Brotli2Shell, le plan va de l'extérieur vers l'intérieur : identifier où Brotli est décompressé, rejeter les requêtes encodées en Brotli au niveau du WAF ou du proxy, corriger en priorité les services exposés, exiger des rapports des fournisseurs, tout documenter, vérifier les obligations de notification.
03
Quels signaux issus de l'underground et de la surface d'attaque externe offrent une alerte précoce plutôt qu'un bruit d'alarmes ?
Notre approche
Les deux exigent un triage. Nous vérifions les résultats issus du dark web et les priorisons selon le type de compte et le service exposé ; suivent la réinitialisation du mot de passe, la fermeture des sessions, la vérification de la MFA et la recherche de la source de la fuite. Les découvertes EASM sont attribuées, validées et priorisées selon l'exposition, l'exploitabilité et la criticité métier. Le critère est le délai jusqu'à une mesure efficace, pas le nombre de résultats.
04
Qu'est-ce qui change pour la détection et la réponse lorsque l'IA et les agents accélèrent les attaques ?
Notre approche
Notre posture de base est « assume breach » : les zero-days corrigés sont réputés exploités jusqu'à preuve du contraire. Nous construisons la détection comme une discipline d'ingénierie – règles Sigma, couverture au regard de MITRE ATT&CK, SIEM, EDR et NDR combinés. Nous traitons les systèmes agentiques dotés d'outils et d'API eux-mêmes comme des cibles d'attaque ; nous utilisons l'IA en défense en complément, jamais en remplacement.

Enseignements

Ce que nous retenons

01
CVSS, EPSS et KEV répondent à trois questions différentes
Qui corrige uniquement selon le score de base CVSS traite en urgence de nombreuses failles qui ne seront jamais exploitées et néglige des failles activement attaquées au score moyen. CVSS mesure la gravité, EPSS la probabilité d'une exploitation, KEV indique si celle-ci a déjà lieu de manière avérée. Ce n'est qu'ensemble, et rapportés aux systèmes accessibles, qu'ils donnent un ordre de priorité fondé sur les risques.
Source: Gestion des vulnérabilités
02
Pour le millésime CVE 2026 en cours, il reste en moyenne environ dix heures avant l'exploitation
Selon les données de la Zero Day Clock, consultées le 29 juillet 2026, le délai moyen jusqu'à la première exploitation confirmée est passé de 2,3 ans pour le millésime CVE 2018 à environ dix heures pour le millésime 2026 en cours – une année partielle comptant 97 cas confirmés. La gestion classique des vulnérabilités reste nécessaire, mais doit être complétée par une vérification continue.
Source: Zero-Day-Monitoring
03
Avec Brotli2Shell, les agents IA dotés d'outils web sont eux aussi menacés
Brotli2Shell ne concerne pas seulement les serveurs qui décompressent les requêtes entrantes. Sont également exploitables les services qui décompressent automatiquement les réponses de serveurs externes – notamment les webhooks, les crawlers et les agents IA qui consultent des URL choisies par l'utilisateur. Un WAF ne voit pas ce sens de trafic et ne remplace donc pas le correctif.
Source: Brotli2Shell (CVE-2026-111497) : ce que les entreprises doivent savoir dès maintenant sur Node2Shell et HTTP2Shell
04
Les identifiants divulgués précèdent souvent les ransomwares
Selon le Verizon Data Breach Investigations Report 2026, 73 % des victimes de ransomware étudiées avaient subi un événement infostealer ou une fuite d'identifiants dans l'année précédant l'attaque, la moitié d'entre elles dans les 95 jours. Qui détecte et vérifie tôt de tels résultats peut interrompre la chaîne d'attaque dès son premier maillon.
Source: Surveillance du dark web

Méthodologie

Notre démarche

Vami Research relie les signaux externes à l'état de votre environnement : qu'est-ce qui est connu, qu'est-ce qui est accessible chez vous, qu'est-ce qui est déjà exploité – et qui doit le notifier, et quand ?

Priorisation par trois signaux

CVSS 4.0 pour la gravité, EPSS pour la probabilité d'exploitation, CISA KEV pour l'exploitation avérée – pondérés selon l'accessibilité depuis Internet.

Format des notes de situation

Cause, versions concernées et corrigées, chemins d'attaque, plan de mesures et obligations de notification – daté, avec sources et contrôle d'exposition.

Surface d'attaque externe

EASM à partir du DNS, des journaux Certificate Transparency et des données de scan ; Vamiset y ajoute un inventaire en lecture seule du cloud et du code ainsi que le scan depuis l'extérieur, sans fonction d'IA à ce jour.

Surveillance zero-day en service géré

Depuis l'extérieur, VamiSec met en œuvre VamiRedteam avec trois agents IA dans le périmètre autorisé ; au plus près du code, VamiAppSec surveille la SBOM de chaque release afin de détecter les vulnérabilités activement exploitées.

Detection engineering

Règles Sigma, couverture au regard de MITRE ATT&CK, SIEM, EDR et NDR combinés ; cas d'usage gérés comme un portefeuille avec cycle de vie, calibrés contre la fatigue d'alerte.

Classification CACS

Classer les cyberattaques dans le secteur de l'électricité selon l'échelle de l'ENTSO-E : cause, impact potentiel et gravité le long de la kill chain ATT&CK.

Pour démarrer

1Rendre visibleRecenser les actifs, la surface d'attaque externe et les sources de journaux ; exploiter en continu les avis des fabricants, du CERT-Bund et du catalogue KEV.
2ÉvaluerVérifier l'exposition, prioriser avec CVSS, EPSS et KEV, consigner la note de situation avec date et sources.
3Agir et notifierCorriger ou compenser, ajuster la détection, vérifier les obligations de notification au titre de NIS2, du RGPD, de DORA et du Cyber Resilience Act.

Publications

Deep Dives, livres blancs et analyses

Deep Dives 7

Gestion des vulnérabilitésComment piloter les vulnérabilités techniques sur l'ensemble de leur cycle de vie – et fermer en priorité, grâce à CVSS 4.0, EPSS et au catalogue KEV de la CISA, les failles qui sont réellement attaquées.31 juillet 2026 Surveillance du dark webComment détecter les identifiants compromis, les mentions de votre entreprise et les fuites de données avant que les attaquants ne les exploitent – et où se situent les limites de l'approche.31 juillet 2026 Détection des attaquesComment mettre en œuvre de manière structurée l'obligation d'utiliser des systèmes de détection des attaques selon le § 31 BSIG – du guide d'orientation du BSI aux preuves à fournir, en passant par les sources de journaux et le detection engineering.31 juillet 2026 MDRComment situer le Managed Detection & Response, choisir le mode d'exploitation et de prestataire adapté et intégrer proprement le service dans votre organisation de sécurité – du raccordement des logs jusqu'au SLA.31 juillet 2026 Cyber-résilience & BCMComment sécuriser la poursuite de vos processus métier critiques avec le standard BSI 200-4 et l'ISO 22301 – de l'analyse d'impact sur l'activité aux exercices de cellule de crise, en passant par les stratégies de sauvegarde.31 juillet 2026 EASMComment la découverte continue, menée du point de vue d'un attaquant, rend visibles les actifs inconnus, le shadow IT et les services exposés – de la première détection jusqu'à la remédiation.31 juillet 2026 Honeypots & DeceptionComment détecter tôt les attaquants dans votre réseau interne grâce aux honeypots, honeytokens et plateformes de deception – avec une qualité de signal élevée et, par construction, très peu de faux positifs.31 juillet 2026

Analyses & actualités

Autres pages

Solutions & prestations

Du domaine à la mise en œuvre

VamisetDécouverte des actifs & contrôle de conformité

Prestations

Zero-Day-Monitoring Gestion Vulnérabilités Dark Web Monitoring Détection des attaques MDR — Managed Detection & Response Centre Opérations Sécurité Cyber Résilience Exercices Gestion dès Urgences IT Continuite dès Activités

Poursuivre la recherche

Domaines de recherche connexes

Retour à Vami Research

Une note de situation pour votre environnement ?

Nous vérifions votre exposition, priorisons avec CVSS, EPSS et KEV et accompagnons la mise en œuvre. En cas de suspicion de compromission, notre CSIRT est joignable 24 h/24 à l'adresse csirt@vamisec.com.

Planifier un premier entretien Retour à Vami Research