KEV (Known Exploited Vulnerabilities)
Le catalogue KEV de la CISA recense les vulnérabilités dont l'exploitation active est avérée sur le terrain. C'est le signal de priorisation le plus fiable qui soit.
Le catalogue Known Exploited Vulnerabilities, tenu par la CISA américaine depuis fin 2021, recense les vulnérabilités dont l'exploitation active a été constatée sur le terrain. Pour y entrer, une faille doit disposer d'un identifiant CVE, faire l'objet de preuves d'exploitation réelle, et avoir une remédiation claire. Le catalogue dépasse aujourd'hui le millier d'entrées, à comparer aux centaines de milliers de CVE publiées : c'est une liste courte, et c'est toute sa valeur.
Là où le score CVSS mesure une gravité théorique, le KEV apporte une certitude : ces failles-là sont exploitées, maintenant, par de vrais attaquants. Les agences fédérales américaines ont l'obligation de les corriger sous des délais stricts, et la pratique s'est imposée bien au-delà : toute vulnérabilité de votre parc présente au KEV passe en tête de file, quel que soit son score.
La difficulté n'est donc pas de lire le catalogue, mais de savoir en continu lesquels de vos actifs exposés sont concernés. C'est exactement le rapprochement qu'opère une plateforme EASM entre votre surface d'attaque et les référentiels de vulnérabilités.
La directive qui l'a rendu contraignant
Le catalogue n'est pas qu'une liste d'information. Il est adossé à la directive opérationnelle BOD 22-01 de la CISA, qui impose aux agences fédérales civiles américaines de corriger les vulnérabilités inscrites, avec une date d'échéance portée sur chaque entrée. Ce mécanisme explique la discipline du référentiel : une faille n'y entre que si elle satisfait trois critères, un identifiant CVE, une preuve d'exploitation active documentée, et une remédiation claire à recommander. Aucune obligation ne s'applique aux entreprises européennes, mais l'usage s'est imposé bien au-delà du périmètre fédéral, simplement parce que le signal est peu bruité.
S'en servir sans y passer ses journées
Le catalogue se télécharge en JSON ou en CSV et se rafraîchit quotidiennement. Le travail utile n'est pas de le lire, mais de le croiser avec votre inventaire : produit, version, exposition. Sans inventaire à jour, le KEV n'est qu'une liste de failles qui concernent quelqu'un d'autre, et c'est le cas le plus fréquent. La jonction est exactement ce que fait la surveillance continue de la surface d'attaque, en rapprochant chaque service exposé des référentiels de vulnérabilités. Une entrée KEV sur un actif accessible depuis Internet est d'ailleurs le seul cas où l'on interrompt sans discuter le cycle de patch normal.
Questions fréquentes
Le KEV concerne-t-il les entreprises françaises ?
Juridiquement non : la contrainte de délai ne vise que les agences fédérales américaines. En pratique, le catalogue sert partout de signal de priorisation, y compris dans les bulletins des CERT européens, parce qu'une exploitation constatée aux États-Unis l'est aussi ailleurs.
Une faille absente du KEV est-elle sans danger ?
Non. Le catalogue recense l'exploitation constatée et documentée, pas toute l'exploitation existante. Une faille peut être utilisée dans des attaques ciblées bien avant d'y figurer. L'absence est un manque de preuve, pas une preuve d'absence.
Quelle différence entre KEV et EPSS ?
Le KEV constate, l'EPSS prédit. Le premier dit qu'une exploitation a été observée, le second estime la probabilité qu'elle survienne dans les trente jours. Quand les deux se contredisent, c'est le KEV qui passe devant.