Gestion des vulnérabilités : le cycle complet et la priorisation

La gestion des vulnérabilités est le processus continu qui permet de repérer les failles de sécurité de vos systèmes, de décider lesquelles corriger en premier et de vérifier qu'elles sont bien fermées. Elle ne se résume pas à installer des mises à jour : l'essentiel se joue dans le tri, car aucune équipe ne peut tout corriger tout de suite. Voici le cycle, les outils pour prioriser et ce que les textes attendent.

Une vulnérabilité est une faiblesse d'un logiciel, d'un équipement ou d'une configuration qu'un attaquant peut exploiter. Quand elle est rendue publique, elle reçoit en général un identifiant CVE (Common Vulnerabilities and Exposures), attribué par le programme CVE et ses autorités de numérotation, puis fait l'objet d'avis de sécurité, comme ceux que publie en continu le CERT-FR.

La gestion des vulnérabilités organise la réponse : savoir ce que l'on possède, détecter les failles qui le touchent, les classer, les traiter et contrôler le résultat. Elle se distingue de deux notions voisines :

• la gestion des correctifs, qui déploie les mises à jour des éditeurs : le NIST la décrit dans sa publication SP 800-40 comme une « maintenance préventive », un coût normal de l'exploitation plutôt qu'un projet ponctuel. C'est l'un des traitements possibles, pas le seul ;
• le test d'intrusion et l'audit de cybersécurité, qui cherchent ponctuellement des failles à la main. Ils complètent la gestion des vulnérabilités, qui fonctionne en continu.

Le guide de l'OWASP insiste sur ce point : la gestion des vulnérabilités doit être découpée en cycles courts et répétables, adaptés à l'organisation. On retrouve partout les mêmes étapes.

1. Inventorier les actifs

On ne protège pas ce que l'on ignore. Serveurs, postes, équipements réseau, applications, services cloud, mais aussi équipements techniques et outils installés hors de la DSI : tout doit figurer dans la cartographie du système d'information, avec sa version, son propriétaire, son exposition à Internet et sa criticité. Le shadow IT et les équipements oubliés sont les angles morts classiques, comme l'a montré la cyberattaque des frigos de supermarchés en octobre 2026.

2. Détecter les vulnérabilités

Trois sources se complètent : les scanners, qui comparent les versions installées aux bases de vulnérabilités ; la veille des avis de sécurité (CERT-FR, éditeurs, bases publiques) ; les découvertes ponctuelles des tests d'intrusion et des signalements extérieurs. Pour les logiciels que vous achetez, la nomenclature logicielle (SBOM) permet de savoir vite si un composant vulnérable s'y cache.

3. Prioriser

C'est l'étape décisive, détaillée plus bas : croiser la gravité de la faille, son exploitation réelle ou probable, et l'importance de l'actif touché.

4. Traiter

Trois options : corriger (appliquer le correctif ou changer la configuration), atténuer quand le correctif n'existe pas ou ne peut pas être déployé tout de suite (couper l'exposition à Internet, désactiver la fonction vulnérable, isoler l'équipement), ou accepter le risque. Une acceptation se décide par le responsable de l'actif, se trace comme une dérogation avec une date de revue, et s'apprécie en risque résiduel.

5. Vérifier et rendre compte

Un nouveau scan confirme que la faille a disparu. Les écarts persistants, les délais et les dérogations remontent dans les indicateurs de sécurité, puis le cycle recommence.

Un scan d'un parc de taille moyenne remonte facilement des milliers de résultats. Les trier par la seule note de gravité revient à traiter en premier des failles qui ne seront peut-être jamais exploitées chez vous. Quatre outils publics et gratuits aident à mieux viser.

CVSS : la gravité technique

Le Common Vulnerability Scoring System, tenu par le FIRST, l'association internationale des équipes de réponse aux incidents, note chaque faille de 0 à 10. Sa version 4.0, publiée le 1er novembre 2023, distingue la note de base (les caractéristiques de la faille), des métriques de menace, d'environnement et des métriques complémentaires, d'où les notations CVSS-B, CVSS-BT, CVSS-BE et CVSS-BTE. En pratique, la plupart des outils n'affichent que la note de base : elle décrit la faille dans l'absolu, pas le risque qu'elle fait peser sur votre organisation.

EPSS : la probabilité d'exploitation

L'Exploit Prediction Scoring System, également porté par le FIRST, estime pour chaque CVE la probabilité qu'elle soit exploitée dans les 30 prochains jours. Le modèle est recalculé chaque jour et ses données sont librement téléchargeables. Il aide à départager des failles de gravité comparable.

Le catalogue KEV : ce qui est déjà exploité

Depuis la directive BOD 22-01 de novembre 2021, l'agence américaine de cybersécurité (CISA) tient le catalogue des vulnérabilités connues pour être exploitées (Known Exploited Vulnerabilities). Une faille y entre si elle a un identifiant CVE, une preuve fiable d'exploitation active et une mesure de correction claire. Les administrations fédérales américaines doivent corriger ces failles dans des délais fixés, deux semaines par défaut pour les plus récentes. Sans être concernée, toute organisation peut s'en servir comme liste de ce qui ne peut pas attendre.

SSVC : un arbre de décision

Le modèle SSVC (Stakeholder-Specific Vulnerability Categorization), créé par l'institut de génie logiciel de l'université Carnegie Mellon avec la CISA, remplace la note par une décision. À partir de cinq questions (la faille est-elle exploitée, quel impact technique, l'attaque peut-elle être automatisée, quelle place pour l'actif dans la mission, quel impact pour le public), il aboutit à quatre réponses : suivre, suivre de près, s'en occuper plus vite que d'habitude, ou agir au plus tôt en impliquant la direction.

Une règle simple pour commencer

Sans outillage complexe, on peut fixer dans la politique de sécurité trois niveaux : tout de suite pour une faille du catalogue KEV ou exploitée selon le CERT-FR sur un actif exposé ou critique ; vite pour une faille grave sur un actif exposé, ou à forte probabilité d'exploitation ; au cycle normal pour le reste. Chaque organisation fixe ses délais selon ses moyens et ses obligations.

Les failles sont une porte d'entrée majeure. Selon le rapport Data Breach Investigations Report 2025 de Verizon, rapporté par CyberScoop, l'exploitation de vulnérabilités est à l'origine de 20 % des intrusions étudiées, en hausse de 34 % sur un an. Les équipements de bordure et les VPN représentent 22 % des cibles de ces exploitations, contre 3 % l'année précédente, et leurs failles ont été corrigées en un délai médian de 32 jours, avec seulement 54 % environ entièrement corrigées sur l'année. En France, le baromètre 2025 du CESIN, le club des experts de la sécurité de l'information et du numérique, place l'exploitation de failles au deuxième rang des vecteurs d'attaque cités par les entreprises touchées (41 %), derrière l'hameçonnage (55 %).

Le volume explose. Le NIST indique que les déclarations de CVE ont augmenté de 263 % entre 2020 et 2025. Sa base nationale, la NVD, qui enrichit chaque CVE de données utilisées par les scanners, n'a pas suivi : en avril 2024, le SANS Internet Storm Center signalait que, depuis le 12 février, l'enrichissement des nouvelles CVE avait presque cessé, laissant les outils sans informations sur une partie des failles récentes. Depuis le 15 avril 2026, le NIST n'enrichit plus en priorité que les failles du catalogue KEV, celles des logiciels de l'administration fédérale et celles des logiciels jugés critiques.

L'Europe s'organise. L'ENISA, l'agence européenne de cybersécurité, a ouvert le 13 mai 2025 sa propre base, l'EUVD, prévue par la directive NIS 2. Elle reprend les identifiants CVE, ajoute son propre identifiant et propose des vues sur les failles critiques, les failles exploitées et celles coordonnées par le réseau des CSIRT européens. Conséquence pratique : ne pas dépendre d'une seule source de données, et vérifier ce que votre outil de détection utilise.

• NIS 2. L'article 21 de la directive impose aux entités essentielles et importantes des mesures de gestion des risques, dont la sécurité de l'acquisition, du développement et de la maintenance des systèmes, « y compris le traitement et la divulgation des vulnérabilités ». Pour certaines entités du numérique (fournisseurs de cloud, centres de données, prestataires de services gérés, entre autres), le règlement d'exécution (UE) 2024/2690 précise au point 6.10 de son annexe : s'informer sur les vulnérabilités, faire des scans réguliers, traiter sans retard injustifié les failles critiques, relier ce processus à la gestion des changements, des correctifs et des incidents, et documenter les raisons quand une faille n'est pas corrigée. Notre guide NIS 2 et notre article sur la directive NIS 2 font le point.
• ISO 27001 et ISO 27002. La mesure 8.8 de l'ISO/IEC 27002:2022, « gestion des vulnérabilités techniques », demande d'obtenir l'information sur les vulnérabilités, d'évaluer l'exposition et de prendre les mesures appropriées. Un auditeur ISO 27001 vérifie qu'elle est appliquée et prouvée. Notre guide ISO 27001 détaille la démarche.
• Cyber Resilience Act. Pour les fabricants de produits numériques, le CRA impose de gérer les vulnérabilités pendant toute la durée de support et, depuis le 11 septembre 2026, de signaler les vulnérabilités activement exploitées. Côté acheteur, c'est un levier pour exiger de ses fournisseurs une politique claire, à inscrire dans la gestion des risques tiers.