Gestion des vulnérabilités & des zero-days

La gestion des vulnérabilités est un processus continu, pas un projet ponctuel. Elle commence par un inventaire complet des actifs, car seuls les systèmes connus peuvent être contrôlés – y compris les ressources cloud, les conteneurs et les services accessibles depuis Internet. Viennent ensuite des scans réguliers, si possible authentifiés, menés de l'intérieur comme de l'extérieur, la priorisation des résultats fondée sur le risque, la remédiation par correctif, modification de configuration ou contrôles compensatoires, ainsi que la vérification par un nouveau scan. Seule cette boucle fermée, avec des délais de traitement documentés, rend le processus pilotable et auditable.

Le Common Vulnerability Scoring System de FIRST est disponible en version 4.0 depuis novembre 2023 et comprend quatre groupes de métriques : Base, Threat, Environmental et Supplemental. La métrique de menace « Exploit Maturity » indique si un code d'exploitation est disponible ou si la faille est déjà activement exploitée ; la nomenclature CVSS-B/-BT/-BE/-BTE rend transparente la question de savoir quels groupes ont été intégrés dans un score. FIRST précise d'ailleurs lui-même que CVSS mesure la sévérité technique et ne doit pas servir de mesure unique du risque. Qui patche uniquement selon le score Base traite en grande urgence de nombreuses vulnérabilités qui ne seront jamais exploitées – et passe à côté de failles activement attaquées au score moyen.

L'Exploit Prediction Scoring System (EPSS) de FIRST est un modèle de machine learning qui estime chaque jour, pour chaque CVE publiée, la probabilité d'une exploitation active dans les 30 prochains jours ; les scores sont librement disponibles via CSV et API. Le catalogue Known Exploited Vulnerabilities (KEV) de la CISA, l'agence américaine de cybersécurité, recense quant à lui les vulnérabilités dont l'exploitation est déjà avérée. En pratique, trois signaux se complètent : CVSS répond à la question de la gravité d'une exploitation, EPSS à celle de sa probabilité, et KEV indique si elle a déjà lieu. Les vulnérabilités listées au KEV sur des systèmes accessibles doivent figurer en tête de file d'attente, indépendamment du score Base.

Des SLA solides définissent des délais de correction contraignants par criticité et exposition, assortis d'un processus d'exception avec acceptation du risque documentée. La directive BOD 26-04 de la CISA (10/06/2026, remplace la BOD 22-01) constitue un modèle de référence approprié : elle dérive les délais de quatre critères – accessibilité depuis Internet, statut KEV, automatisabilité de l'attaque et impact technique – et les échelonne de 3 jours (y compris une analyse forensique lorsqu'une inscription au KEV se combine avec un contrôle complet du système) à 14 et 60 jours, jusqu'à la correction avec la prochaine mise à niveau régulière. La directive n'est contraignante que pour les agences fédérales américaines, mais en tant que modèle de délais fondé sur le risque, elle offre également aux entreprises un repère compréhensible.

Un zero-day est une vulnérabilité exploitée ou rendue publique avant que l'éditeur ne fournisse un correctif – la défense ne dispose que de « zéro jour » de préavis. Le patching classique étant exclu, des mesures compensatoires prennent le relais : le patching virtuel bloque les tentatives d'exploitation en amont de l'application via des règles WAF ou IPS, sans modifier le code ; l'OWASP classe expressément cette approche, dans son Virtual Patching Cheat Sheet, comme une solution transitoire qui ne remplace pas le correctif proprement dit. S'y ajoutent les contournements issus des avis de sécurité des éditeurs, la segmentation du réseau et la désactivation temporaire des fonctions exposées. La condition préalable est une veille systématique des avis de sécurité – par exemple des bulletins des éditeurs, du service d'alerte et d'information de CERT-Bund/BSI et du catalogue KEV.

ISO/IEC 27001:2022 ancre le sujet dans la mesure 8.8 de l'annexe A (« Management of technical vulnerabilities ») : il faut recueillir des informations sur les vulnérabilités techniques, évaluer sa propre exposition et prendre des mesures appropriées. NIS2 (directive (UE) 2022/2555) exige elle aussi, à l'art. 21(2)(e), des mesures de sécurité lors de l'acquisition, du développement et de la maintenance des réseaux et systèmes d'information, y compris la gestion et la divulgation des vulnérabilités. Le processus est piloté par des indicateurs tels que le temps moyen de correction (MTTR) par classe de criticité, le taux de respect des SLA, la couverture de scan de l'inventaire, l'âge des vulnérabilités ouvertes – en particulier celles listées au KEV – et le taux de récurrence après vérification. Ces valeurs ont leur place dans le reporting de direction régulier du SMSI.