Score CVSS : pourquoi 62 % des failles exploitées connues passent sous le
seuil critique

Une politique de correctifs comme on en lit des dizaines : les failles Critical sous sept jours, les High sous trente, le reste au fil de l'eau. Elle repose sur une hypothèse rarement vérifiée, à savoir que le score CVSS trie correctement ce qui va être attaqué. J'ai voulu la mettre à l'épreuve avec la seule liste publique de failles dont l'exploitation est confirmée, le catalogue Known Exploited Vulnerabilities de la CISA. La question est simple : quelle part de ces CVE exploitées tombe sous le seuil critique de 9.0 ?

Réponse, sur les failles du catalogue publiées depuis 2016 : 960 sur 1 538, soit 62,4 %. Près de deux sur trois. Sur tout le catalogue, la part monte à 63,9 % (1 108 sur 1 734), mais j'en écarte les failles plus anciennes, dont le score v3 a été attribué après coup. La règle "Critical d'abord" laisse donc passer la majorité dans la file lente. Cet article détaille comment j'ai obtenu ce chiffre, ce qu'il vaut et ne vaut pas, ce que l'EPSS y ajoute, puis revient sur le calcul du score lui-même, vecteur et formule, avec un calculateur pour le refaire à la main.

La méthode, en court

Trois sources ouvertes, croisées par identifiant de CVE. Le catalogue KEV d'abord, téléchargé le 6 octobre 2026 (version 2026.10.04, 1 734 entrées). Les scores ensuite, tirés d'un miroir public des flux de la NVD (instantané du 3 octobre), parce qu'interroger l'API sans clé aurait pris des heures et n'aurait pas permis de comparer avec l'ensemble des CVE. Enfin l'EPSS, la probabilité d'exploitation publiée chaque jour par le FIRST : j'ai pris le fichier du jour exact où chaque CVE est entrée au KEV, soit 482 fichiers quotidiens.

Pour le score, j'utilise le CVSS v3.x de base, jamais le v2 ni le v4. L'ordre de préférence est la note de la NVD, à défaut celle de l'autorité qui a déclaré la CVE (le CNA, souvent l'éditeur), à défaut celle de l'ADP de la CISA. Ce troisième recours sort du cadre strict que je m'étais fixé, alors je publie aussi la variante sans lui : sur tout le catalogue, 94 CVE restent alors sans score, et la part sous 9.0 passe de 63,9 à 62,9 %. Les tranches sont celles de la spécification : Medium de 4.0 à 6.9, High de 7.0 à 8.9, Critical de 9.0 à 10.0.

Les scripts, les fichiers bruts et l'empreinte SHA-256 de chacun sont conservés, ce qui permet de rejouer l'étude à l'identique. Elle a ensuite été recalculée de façon indépendante par une contre-expertise, qui retrouve les mêmes comptages mais a relevé trois défauts de lecture, corrigés dans cette version : les scores v3 attribués après coup aux failles d'avant 2016, l'effet de l'âge de la faille sur l'EPSS, et un exemple mal choisi.

Le score CVSS des CVE exploitées, comparé à toutes les autres

Un chiffre seul ne dit pas grand-chose. Pour savoir si le score CVSS porte un signal, il faut comparer les CVE exploitées à l'ensemble des CVE publiées sur la même période. J'ai pris toutes celles publiées dans la NVD du 1^er janvier 2022 au 31 décembre 2025, hors CVE rejetées : 141 994, dont 138 891 portent un score. Parmi elles, 653 sont au KEV.

Le signal existe, et il est net. Les Critical pèsent 14,3 % de toutes les CVE de la période, mais 37,5 % des CVE exploitées. À l'inverse, les Medium font presque la moitié du volume (46,4 %) et seulement 11,8 % du KEV. Rapporté à chaque tranche, l'écart se lit encore mieux.

Une CVE notée Critical a donc eu environ dix fois plus de chances d'entrer au catalogue qu'une Medium : 123,1 pour 10 000 (intervalle de confiance à 95 % : 108,7 à 139,4) contre 12,0 pour 10 000 (9,6 à 14,9). Les CVE publiées en 2025 ont eu moins de temps pour y entrer, ces taux sont donc des minimums. Ce rapport dépend de la source du score : il vaut 10,0 avec les seules notes de la NVD, 11,0 sans l'ADP, 12,6 si l'on préfère le CNA à la NVD, et 19,9 avec les seules notes des CNA. Le sens ne change jamais, l'ampleur si.

Et pourtant, le seuil à 9.0 rate la majorité. Les deux constats ne se contredisent pas : une CVE High a environ deux fois moins de chances qu'une Critical d'entrer au catalogue (63,4 contre 123,1 pour 10 000), mais il y en a beaucoup plus, 51 734 contre 19 898. En volume, elles l'emportent : 328 CVE High au KEV sur la période, contre 245 Critical. Le score CVSS est un bon indicateur de probabilité, et un mauvais filtre. Sur 2022-2025, 62,5 % des CVE exploitées notent sous 9.0, quand 85,7 % de toutes les CVE sont dans ce cas.

La proportion bouge d'une année d'ajout à l'autre sans jamais passer sous la moitié : 63,7 % des CVE ajoutées en 2021 notaient sous 9.0, 70,5 % en 2022, 70,6 % en 2023, 58,1 % en 2024, 60,4 % en 2025 et 52,4 % des 250 ajoutées en 2026 jusqu'au 4 octobre.

Et l'EPSS ? Le piège de l'âge de la CVE

L'EPSS (Exploit Prediction Scoring System) est souvent présenté comme le correctif du CVSS : au lieu d'une gravité, une probabilité d'exploitation dans les trente jours, recalculée chaque jour par le FIRST. J'ai donc relevé, pour chaque faille du catalogue, son score EPSS le jour exact de son inscription au KEV, en me demandant combien passaient sous 0,1, soit moins d'une chance sur dix d'être exploitées selon le modèle.

Pris globalement, le résultat paraît accablant : 946 des 1 499 failles présentes dans le fichier du jour, 63,1 %. Il est pourtant trompeur, et la contre-expertise l'a relevé. Une faille publiée la veille n'a encore accumulé aucun signal, son EPSS est bas par construction, et 211 des 555 failles inscrites dans leurs trente premiers jours ne figuraient même pas dans le fichier. Ce chiffre global ne se lit qu'une fois découpé par l'âge de la faille au moment de son ajout.

L'effet de l'âge est massif : 90,1 % sous 0,1 pour les failles de moins d'un mois, 73,2 % entre un mois et un an, 45,6 % au-delà. C'est ce dernier chiffre qui compte. Même parmi les failles publiées depuis plus d'un an au moment de leur ajout, des failles que le modèle avait eu tout le temps d'observer, 346 sur 759 avaient un EPSS inférieur à 0,1 le jour où la CISA les inscrivait au catalogue.

Le score bouge aussi très vite après l'inscription. Sur les 365 failles pour lesquelles j'avais aussi le fichier du lendemain, 242 étaient sous 0,1 le jour de l'ajout et 178 le lendemain : 64 ont franchi le seuil en vingt-quatre heures. L'EPSS intègre l'inscription au KEV comme signal, donc le score du jour J mesure ce que le modèle savait avant.

La conclusion pratique n'est pas "l'EPSS ne sert à rien". Sur une faille ancienne, il apporte une information que le CVSS n'a pas. Sur une faille fraîche, un EPSS bas ne rassure sur rien : il dit seulement que le modèle n'a pas encore de données. Le croisement des deux seuils donne la mesure du risque. Parmi les failles du KEV publiées depuis plus d'un mois au moment de leur ajout, 468 sur 1 155, soit 40,5 %, n'étaient ni critiques selon le CVSS, ni au-dessus de 0,1 selon l'EPSS ce jour-là (272 sur 759, 35,8 %, pour celles de plus d'un an). Un filtre "CVSS d'au moins 9 ou EPSS d'au moins 0,1" les aurait toutes laissées dans la file lente.

Ce que ces chiffres ne disent pas

Quatre réserves, que je préfère poser franchement plutôt que de les laisser en note.

• Le KEV n'est pas un recensement. La CISA n'y inscrit que les failles dont elle a pu confirmer l'exploitation et pour lesquelles une mesure corrective existe, avec un biais assumé vers les produits utilisés par l'administration fédérale américaine. Les failles exploitées dans un logiciel métier français de niche y sont sous-représentées. "CVE exploitée", dans cet article, veut dire "CVE entrée au KEV".
• Les scores sont figés à une date. J'utilise ceux de l'instantané NVD du 3 octobre 2026, pas ceux affichés le jour de l'ajout au catalogue. La NVD peut renoter une CVE après coup, y compris après son entrée au KEV, et les 1 734 sont toutes au statut "Analyzed".
• Les vieilles failles ont reçu leur v3 a posteriori. 196 failles du catalogue ont été publiées avant 2016, quand la NVD n'appliquait pas encore CVSS v3 : leur score v3 a été attribué plus tard, 142 fois par la NVD, 53 fois par l'ADP de la CISA et une fois par le CNA, souvent en connaissant déjà l'exploitation. C'est pourquoi le chiffre principal les écarte (62,4 %, 960 sur 1 538). Avec elles, il vaut 63,9 % : l'écart est faible, le résultat tient.
• Le lot de départ pèse. Le 3 novembre 2021, la CISA a ouvert le catalogue avec un stock de CVE anciennes. Sans lui, la part sous 9.0 vaut 63,8 % (923 sur 1 447) : pratiquement inchangée.

Dernier point, qui relativise la précision du score lui-même : sur les 333 CVE du catalogue qui portent à la fois une note de la NVD et une note du CNA, 249 tombent dans la même tranche et 84 changent de tranche selon la source retenue, soit une sur quatre. Le désaccord n'a pas de sens privilégié : à la décimale près, la NVD note plus haut que le CNA dans 83 cas, le CNA plus haut que la NVD dans 82.

Ce que ça change pour votre politique de correctifs

Le score CVSS reste utile pour ordonner un gros volume de CVE dont on ne sait rien d'autre. Il devient dangereux dès qu'il sert de seuil d'exclusion. Trois ajustements suffisent à corriger le plus gros du biais mesuré ici.

D'abord, la présence au KEV doit court-circuiter le score : une CVE du catalogue sur un actif que vous exploitez se traite en urgence, qu'elle note 7.2 ou 9.8, et dans les jours qui suivent sa publication quand c'est un zero-day sur un équipement de bordure. Ensuite, l'EPSS se lit avec l'âge de la CVE en tête : utile sur le stock ancien, muet sur les publications de la semaine. Enfin, l'exposition tranche. Une CVE ne compte que si l'actif qui la porte est joignable et vous appartient, et c'est l'objet d'une surveillance de surface d'attaque externe : rapprocher chaque CVE d'un actif réellement exposé, par bannière et version, et faire remonter ce qui est à la fois exploité et atteignable.

Dans une gestion des vulnérabilités bien menée, le score fixe la sévérité de départ, le KEV et l'EPSS ajustent l'urgence, l'exposition décide, et le résultat devient une échéance de patch management.

Ce que mesure le score CVSS

CVSS veut dire Common Vulnerability Scoring System. C'est un standard ouvert maintenu par le FIRST (Forum of Incident Response and Security Teams), et c'est la note que vous voyez sur chaque fiche NVD, dans les avis d'éditeurs et dans la sortie de votre scanner. La notation CVSS se décline en trois groupes de métriques : le groupe de base, qui décrit la gravité intrinsèque d'une faille, un groupe temporel (rebaptisé menace en v4.0) qui suit l'évolution de l'exploit, et un groupe environnemental qui pondère selon votre déploiement.

Quand on dit "le score CVSS d'une CVE", on parle presque toujours du score de base, celui qu'utilise l'étude ci-dessus. C'est une gravité hors contexte, par construction : il ne sait ni si la faille est exploitée, ni si elle est joignable chez vous, ce qui explique une bonne partie des résultats. Il se calcule à partir d'un vecteur, une chaîne compacte du type CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Le vecteur est la source, le score n'en est que le résumé, et deux failles au même score peuvent avoir des vecteurs très différents.

Le vecteur CVSS v3.1, métrique par métrique

Le score de base v3.1 se répartit en deux sous-scores : l'exploitabilité (à quel point la faille est facile à déclencher) et l'impact (ce qu'on obtient une fois qu'elle est déclenchée). Quatre métriques nourrissent l'exploitabilité, trois l'impact, et une huitième, le Scope, articule les deux. Voici les huit, avec les poids exacts de la table 16 de la spécification.

Le Scope mérite un arrêt, parce que c'est la métrique la plus mal comprise et celle qui fait basculer un score. Scope Unchanged : l'impact reste dans le périmètre d'autorité du composant touché. Scope Changed : l'exploitation déborde, comme une évasion de conteneur qui compromet l'hôte. Un Scope changé relève les poids de PR et applique un facteur 1.08 au total, ce qui permet à une faille d'atteindre 10.0. Sans lui, le plafond effectif d'un vecteur classique tourne autour de 9.8.

Comment le score CVSS v3.1 est calculé (la formule)

Ce n'est pas une moyenne. C'est une suite de multiplications définie mot pour mot dans la spécification FIRST v3.1, en trois étapes : un sous-score d'impact (ISS), un sous-score d'exploitabilité, puis leur combinaison avec un arrondi particulier.

# Sous-score d'impact
ISS = 1 - [ (1 - C) × (1 - I) × (1 - A) ]

# Impact, selon le Scope
Impact(S:U) = 6.42 × ISS
Impact(S:C) = 7.52 × (ISS - 0.029) - 3.25 × (ISS - 0.02)^15

# Exploitabilité
Exploitability = 8.22 × AV × AC × PR × UI

# Score de base
BaseScore(S:U) = Roundup( min(Impact + Exploitability, 10) )
BaseScore(S:C) = Roundup( min(1.08 × (Impact + Exploitability), 10) )
# Roundup = le plus petit nombre à 1 décimale >= à l'entrée

Le Roundup arrondit toujours vers le haut à la première décimale. Déroulons PwnKit (CVE-2021-4034), l'escalade de privilèges de pkexec, inscrite au KEV en juin 2022 et marquée depuis comme utilisée par des rançongiciels. Son vecteur : AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. ISS vaut 1 - (1 - 0.56)³ = 0.9148. L'impact en Scope Unchanged vaut 6.42 × 0.9148 = 5.8731. L'exploitabilité vaut 8.22 × 0.55 × 0.77 × 0.62 × 0.85 = 1.8346. La somme fait 7.7077, arrondie vers le haut : 7.8, la note publiée par la NVD. Impact maximal sur les trois axes, mais AV:L et PR:L divisent l'exploitabilité par plus de deux : il faut déjà un compte sur la machine. C'est exactement le profil de faille que le seuil critique relègue, et que les rançongiciels utilisent une fois le premier accès obtenu.

Le calculateur ci-dessous implémente ces équations, poids compris, et recalcule score et vecteur à chaque clic, en local. Il est pré-rempli sur une RCE pré-authentifiée à 9.8 : basculez S sur Changed et regardez le score atteindre 10.0, ou passez AV de Network à Local pour voir l'exploitabilité s'effondrer.

Trois vecteurs, trois profils

Log4Shell (CVE-2021-44228) note 10.0 avec AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. La RCE pré-authentifiée du cœur de WordPress (CVE-2026-63030) note 9.8 selon WPScan, l'autorité qui l'a déclarée (CNA), avec le même vecteur à une lettre près : S:U au lieu de S:C. La NVD n'a pas publié de note, et l'ADP de la CISA la note 7.5 (C:H/I:N/A:N) : c'est exactement le désaccord de sources mesuré plus haut. Elle est au KEV depuis le 21 juillet 2026. Log4Shell débordait du composant de journalisation vers tout le processus Java via la résolution JNDI, la faille de WordPress reste dans son périmètre applicatif (sa mécanique est détaillée dans l'analyse de la RCE pré-auth qui touche le cœur de WordPress). PwnKit, à 7.8, a le même impact que les deux autres et un vecteur d'attaque local. Trois nombres, trois situations qui n'ont presque rien à voir : lisez le vecteur, pas seulement la note.

CVSS v4.0 : la fin de la formule unique

La version 4.0 rompt avec la précédente sur un point : il n'y a plus de formule fermée. Les vecteurs sont regroupés en classes d'équivalence (le MacroVector), chaque classe pointe vers un score de référence dans une table de correspondance, et un vecteur donné est interpolé à l'intérieur de sa classe. Impossible de le refaire avec quatre multiplications, d'où le renvoi au calculateur officiel de FIRST, l'implémentation de référence, qui embarque la table complète.

Les métriques bougent aussi. Le Scope disparaît au profit de deux jeux d'impact, le système vulnérable (VC/VI/VA) et le système suivant (SC/SI/SA). Attack Requirements (AT) capte les conditions de déploiement, et User Interaction passe à trois valeurs : None, Passive, Active. Une nomenclature dit enfin ce que le score contient.

Les bandes qualitatives ne changent pas : None à 0.0, Low de 0.1 à 3.9, Medium de 4.0 à 6.9, High de 7.0 à 8.9, Critical de 9.0 à 10.0. L'étude ci-dessus montre ce que coûte cette frontière quand on en fait une règle de tri. En pratique, v3.1 reste la version que vous croiserez le plus, et certaines CVE portent les deux vecteurs en parallèle, sans forcément tomber dans la même bande.

À retenir

• Le seuil critique laisse passer la majorité. 62,4 % des 1 538 failles du catalogue KEV publiées depuis 2016 notent sous 9.0, 11,2 % sous 7.0. Sur tout le catalogue, 63,9 %. Le résultat tient sans le lot initial et sans l'ADP.
• Le score porte un signal, pas un filtre. Sur 2022-2025, une Critical entre au KEV environ dix fois plus souvent qu'une Medium, mais les High, plus nombreuses, fournissent plus de CVE exploitées que les Critical.
• L'EPSS se lit avec l'âge de la faille. Sous 0,1 pour 90,1 % des failles de moins d'un mois le jour de leur ajout, mais encore pour 45,6 % de celles publiées depuis plus d'un an. Un EPSS bas sur une faille fraîche ne rassure sur rien, et sur une ancienne il ne suffit pas.
• Le vecteur prime sur le score. Lisez AV/AC/PR/UI/S/C/I/A : un 7.8 local peut être l'étape décisive d'une attaque par rançongiciel.
• Prioriser, c'est croiser. Présence au KEV d'abord, EPSS avec prudence, CVSS pour départager, et l'exposition réelle pour trancher.

Si vous voulez transformer une liste de CVE en file de correctifs qui tienne compte de ce qui est réellement exploité et réellement joignable, c'est ce que fait la surveillance de surface d'attaque externe d'own2pwn, qui rapproche chaque vulnérabilité de l'actif exposé qui la porte. Pour voir quelles familles de produits ces CVE exploitées visent quand il s'agit de rançongiciels, la même étude est déclinée dans l'article sur les attaques par ransomware. Pour en discuter, il suffit de prendre contact.

Questions fréquentes sur le score CVSS