CVSS (Common Vulnerability Scoring System)
Le CVSS note la sévérité technique d'une vulnérabilité de 0 à 10 selon des métriques standardisées : vecteur d'attaque, privilèges requis, impact sur les données.
Le Common Vulnerability Scoring System, maintenu par le FIRST, attribue à chaque vulnérabilité un score de sévérité de 0 à 10, calculé à partir de métriques standardisées : le vecteur d'attaque (réseau ou local), la complexité de l'exploitation, les privilèges requis, l'interaction utilisateur nécessaire, et l'impact sur la confidentialité, l'intégrité et la disponibilité. Au-delà de 9, on parle de vulnérabilité critique. La version 4.0 du standard, publiée fin 2023, affine ces métriques, mais la 3.1 reste la plus répandue dans les bases publiques.
Le piège classique est de confondre sévérité et risque. Le CVSS mesure la gravité technique intrinsèque d'une faille, pas la probabilité qu'elle soit exploitée chez vous, ni la valeur de ce qu'elle expose : une CVSS 9.8 sur un serveur de test isolé peut peser moins qu'une 6.5 sur votre portail client. Trier sa liste de vulnérabilités par score décroissant, c'est traiter des dizaines de "critiques" théoriques pendant que la faille réellement exploitée attend son tour.
D'où les compléments devenus standards : l'EPSS estime la probabilité d'exploitation, et le catalogue KEV recense les failles dont l'exploitation est avérée. La bonne priorisation croise les trois, plus votre contexte.
Les métriques que personne ne renseigne
Le score qu'on lit partout est le score de base, et c'est le seul que les bases publiques calculent. Le standard en prévoit deux autres. Les métriques de menace ajustent selon la maturité du code d'exploitation disponible. Les métriques environnementales permettent de repondérer selon votre contexte : criticité réelle de l'actif, mesures compensatoires en place, exigences propres de confidentialité, d'intégrité et de disponibilité. Presque personne ne les remplit, alors que c'est exactement là que se joue l'écart entre un score générique, identique pour tout le monde, et une priorisation qui a du sens chez vous. Le calculateur du FIRST les expose, il ne manque que la décision de s'en servir.
Ce que la version 4.0 change
Publiée fin 2023 par le FIRST, la version 4.0 sépare la vulnérabilité, le système vulnérable et le système impacté, ce qui traite enfin correctement les failles dont la portée dépasse la machine attaquée. Elle ajoute des métriques de sûreté pour les systèmes industriels, et clarifie un vecteur devenu illisible. L'adoption reste lente : la plupart des flux publics diffusent encore du 3.1, et beaucoup d'outils affichent les deux côte à côte. Vérifiez la version avant de comparer deux scores, parce qu'un 8,1 en 3.1 et un 8,1 en 4.0 ne racontent pas la même histoire, et parce que les seuils de vos procédures ont probablement été écrits pour l'un des deux. Notre guide de la gestion des vulnérabilités montre comment articuler ces seuils avec le reste de la chaîne.
Questions fréquentes
Un CVSS 9.8 est-il forcément urgent ?
Non. Le score décrit la gravité technique si la faille est exploitée, pas la probabilité qu'elle le soit ni la valeur de l'actif concerné. Une 9.8 sur une machine de laboratoire isolée passe derrière une 6.5 sur le portail client.
Où trouve-t-on le score CVSS d'une vulnérabilité ?
Dans les bases publiques comme la NVD, qui enrichit la fiche du MITRE, et dans le bulletin de sécurité de l'éditeur. Les deux divergent parfois : l'éditeur connaît son produit, la base applique le standard de façon plus mécanique.
Faut-il abandonner le CVSS ?
Non, il reste le langage commun de la sévérité et plusieurs référentiels l'exigent. Il ne doit simplement pas servir seul de file d'attente : on le croise avec l'EPSS, le catalogue KEV et l'exposition réelle de l'actif.