Un score CVSS donne un langage commun pour évaluer la sévérité d’une vulnérabilité, mais il ne raconte pas toute l’histoire. Comprendre ses métriques, distinguer CVSS v2, v3.1 et v4.0, puis tenir compte de l’exposition réelle permet aux équipes de sécurité de prioriser leurs actions sans traiter chaque alerte de la même façon.
L’article en bref
Le CVSS aide à comparer la gravité technique des vulnérabilités et à organiser les réponses. Son score devient réellement utile lorsqu’il est lu avec son vecteur et replacé dans le contexte de l’organisation.
- Un repère commun : le score résume la sévérité, mais ne remplace pas l’analyse du risque.
- Des métriques à décrypter : accès, complexité, privilèges et impacts expliquent le résultat.
- Des versions à distinguer : CVSS v2, v3.1 et v4.0 ne se comparent pas directement.
- Une priorité contextualisée : exposition et probabilité d’exploitation orientent l’ordre des correctifs.
À retenir : un score est un point de départ pour décider, pas une décision à lui seul.
CVSS : à quoi sert ce score de vulnérabilité ?
Le CVSS, ou Common Vulnerability Scoring System, est un cadre ouvert qui décrit la gravité technique d’une vulnérabilité sur une échelle de 0 à 10. Il fournit un référentiel commun aux éditeurs, aux équipes de sécurité et aux organisations qui doivent comparer des failles parfois très différentes.
Pour une entreprise, ce langage partagé facilite la veille et la planification des correctifs. Il ne mesure toutefois pas directement le risque métier : une vulnérabilité sévère dans un service isolé peut être moins urgente qu’une faille de score inférieur exposée sur un système essentiel.
Un score pour comparer, pas pour décider seul
Le score synthétise des caractéristiques techniques, notamment la facilité d’exploitation et les conséquences possibles. Il aide à répondre à une première question : quelles vulnérabilités méritent un examen prioritaire ?
Imaginez une PME fictive qui découvre deux failles : l’une obtient un score très élevé, mais concerne un serveur de test inaccessible depuis l’extérieur ; l’autre est moins sévère, mais touche son portail client exposé à Internet. Le contexte peut modifier l’ordre des interventions.
Comment lire les métriques CVSS v3.1
Dans CVSS v3.1, le score de base repose sur les propriétés intrinsèques de la vulnérabilité. Son vecteur détaille les conditions d’exploitation et les impacts : lire cette chaîne de métriques permet de comprendre pourquoi deux failles affichent des scores différents.
Les trois axes principaux sont l’exploitabilité, la portée et l’impact sur la confidentialité, l’impact sur l’intégrité ainsi que la disponibilité. Le résultat est donc plus parlant lorsqu’il est accompagné de son vecteur complet.
Vecteur d’attaque, complexité et privilèges requis
Le vecteur d’attaque indique comment un attaquant peut atteindre la cible : par le réseau, un réseau adjacent, un accès local ou un accès physique. En général, une exploitation à distance est plus préoccupante qu’une attaque nécessitant un accès physique au matériel.
La complexité de l’attaque précise si l’exploitation exige des conditions particulières. Les privilèges requis et l’interaction utilisateur complètent le tableau : une faille exploitable sans compte et sans action de la victime présente souvent des conditions plus favorables à l’attaquant.
Portée et impacts sur les systèmes
La portée, ou Scope, indique si l’exploitation peut affecter des composants au-delà de celui qui est vulnérable. Par exemple, une faille permettant de sortir d’un conteneur et d’atteindre le système hôte peut étendre les conséquences à d’autres ressources.
Les impacts concernent la confidentialité, l’intégrité et la disponibilité. Une fuite de données touche la confidentialité ; une modification non autorisée affecte l’intégrité ; une interruption de service porte atteinte à la disponibilité. Plus ces effets sont importants, plus le score peut grimper.
CVSS v2, CVSS v3.1 et v4.0 : quelles différences ?
Les versions successives ont fait évoluer les métriques et leur interprétation. CVSS v2 reste visible dans certaines anciennes fiches de vulnérabilité, tandis que CVSS v3.1 a apporté des ajustements par rapport à v3.0. Publiée en 2023, la version 4.0 affine l’évaluation et distingue plus clairement plusieurs groupes de métriques.
Les scores issus de versions différentes ne sont pas directement comparables : une même valeur peut reposer sur des règles et des métriques différentes. Lorsqu’une équipe examine une CVE, elle doit donc vérifier la version utilisée et consulter le vecteur associé.
| Version | Repère de lecture | Point d’attention |
|---|---|---|
| CVSS v2 | Ancienne méthodologie encore présente sur certaines CVE historiques. | Ses scores ne se comparent pas directement à ceux des versions ultérieures. |
| CVSS v3.1 | Métriques de base, temporelles et environnementales. | Elle affine la version 3.0 et reste largement rencontrée dans les bases de vulnérabilités. |
| CVSS v4.0 | Métriques de base, de menace, environnementales et supplémentaires. | Elle propose une structure actualisée ; vérifier la version affichée avant toute comparaison. |
Ce que change CVSS v4.0
CVSS v4.0 conserve une note de base, mais distingue davantage les facteurs qui décrivent la vulnérabilité, les informations liées à la menace et les ajustements propres à l’environnement. Les métriques supplémentaires apportent des éléments de caractérisation sans modifier nécessairement le score.
Cette évolution invite à dépasser la lecture d’un chiffre isolé. Pour une équipe qui suit un parc logiciel hétérogène, documenter la version, le vecteur et les hypothèses retenues rend les décisions plus cohérentes dans le temps.
Interpréter la sévérité et organiser les correctifs
Les niveaux de sévérité donnent un repère rapide pour communiquer sur une vulnérabilité. Les délais ci-dessous sont des exemples de règles internes : ils ne constituent pas des échéances universelles et doivent être adaptés à l’exposition, aux contraintes opérationnelles et aux procédures de l’organisation.
| Score CVSS | Sévérité indicative | Exemple de priorité interne |
|---|---|---|
| 9,0 à 10,0 | Critique | Évaluer un correctif immédiat, par exemple sous 24 heures si le contexte le justifie. |
| 7,0 à 8,9 | Élevée | Organiser une intervention urgente, par exemple dans la semaine. |
| 4,0 à 6,9 | Moyenne | Planifier le correctif selon l’exposition et les ressources disponibles. |
| 0,1 à 3,9 | Faible | Traiter selon le contexte, les dépendances et la capacité de l’équipe. |
Log4Shell : lire un vecteur concret
La vulnérabilité Log4Shell, identifiée sous la référence CVE-2021-44228, a reçu un score CVSS 3.1 de 10,0. Son vecteur AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H décrit notamment une exploitation réseau, une faible complexité, l’absence de privilèges requis et des impacts élevés.
Ce cas illustre l’intérêt du vecteur : le score signale une gravité maximale, tandis que les métriques expliquent les raisons de cette évaluation. Les organisations devaient néanmoins vérifier quels produits et quelles versions étaient réellement présents dans leur environnement.
Les limites du CVSS : compléter le score par le contexte
Le CVSS mesure la sévérité technique, mais ne sait pas à lui seul si une vulnérabilité est exploitable dans une configuration donnée ou si un attaquant la cible activement. La probabilité d’exploitation et l’exposition réelle sont des informations distinctes à examiner pour transformer un score en ordre d’action.
Des indicateurs complémentaires, comme l’EPSS, estiment la probabilité d’exploitation observée ou anticipée. Les listes de vulnérabilités connues comme exploitées, telles que KEV, peuvent aussi éclairer les priorités ; ils ne remplacent pas l’analyse des actifs et des contrôles en place.
Une méthode pratique pour prioriser
Une démarche simple évite de traiter les scores comme une file d’attente automatique. Pour chaque vulnérabilité, l’équipe peut consigner les éléments suivants avant de fixer un délai :
- Confirmer l’actif concerné : identifier le logiciel, sa version et son rôle dans le système d’information.
- Vérifier l’exposition : déterminer si le service est accessible depuis Internet ou un réseau interne.
- Lire la version et le vecteur : comprendre les conditions d’exploitation et les impacts annoncés.
- Rechercher des signaux d’exploitation : consulter les informations de menace disponibles, dont EPSS et KEV.
- Évaluer les mesures existantes : prendre en compte segmentation, protections et solutions temporaires.
- Fixer une priorité documentée : relier le délai retenu au risque observé et aux contraintes opérationnelles.
Une révision du score ou de nouvelles informations sur l’exploitation peuvent modifier l’analyse. Une veille régulière et une bonne circulation de l’information entre sécurité, informatique et responsables métier rendent la réponse plus robuste.
Questions fréquentes sur le CVSS
Quelques repères permettent de lever les confusions les plus fréquentes lors de la lecture d’une fiche de vulnérabilité.
Que signifie un score CVSS de 10 ?
Il correspond au niveau maximal de sévérité technique selon la version concernée. Il ne signifie pas automatiquement que tous les systèmes sont exposés ni qu’un incident est en cours : l’actif, sa configuration et les conditions d’exploitation doivent être vérifiés.
Peut-on comparer directement un score CVSS v2 à un score v3.1 ?
Non. Les versions n’emploient pas exactement les mêmes règles et métriques. Il faut vérifier la version indiquée et lire le vecteur plutôt que comparer uniquement les nombres.
CVSS v3.1 et v4.0 mesurent-ils la probabilité d’exploitation ?
Le score CVSS décrit principalement la sévérité selon ses métriques. Pour apprécier la probabilité d’exploitation, il est utile de le compléter par des indicateurs comme EPSS et par des informations sur les vulnérabilités effectivement exploitées.
Quel ordre suivre pour corriger les vulnérabilités ?
Commencez par confirmer les actifs concernés, leur exposition et la version du score. Croisez ensuite le vecteur CVSS avec les signaux d’exploitation, l’importance métier et les protections existantes pour définir une priorité adaptée.
Je suis Julien Marceau, rédacteur spécialisé en communication et marketing B2B. J’aide les dirigeants, indépendants et responsables com à y voir clair : de l’objet publicitaire à la campagne digitale, je décortique les méthodes qui marchent, sans jargon ni promesses en l’air. Mon truc : des guides concrets qu’on peut appliquer dès le lendemain.
