KEV (Known Exploited Vulnerabilities)

Le catalogue Known Exploited Vulnerabilities, tenu par la CISA américaine depuis fin 2021, recense les vulnérabilités dont l’exploitation active a été constatée sur le terrain. Pour y entrer, une faille doit disposer d’un identifiant CVE, faire l’objet de preuves d’exploitation réelle, et avoir une remédiation claire. Le catalogue dépasse aujourd’hui le millier d’entrées, à comparer aux centaines de milliers de CVE publiées : c’est une liste courte, et c’est toute sa valeur.

Là où le score CVSS mesure une gravité théorique, le KEV apporte une certitude : ces failles-là sont exploitées, maintenant, par de vrais attaquants. Les agences fédérales américaines ont l’obligation de les corriger sous des délais stricts, et la pratique s’est imposée bien au-delà : toute vulnérabilité de votre parc présente au KEV passe en tête de file, quel que soit son score.

La difficulté n’est donc pas de lire le catalogue, mais de savoir en continu lesquels de vos actifs exposés sont concernés. C’est exactement le rapprochement qu’opère une plateforme EASM entre votre surface d’attaque et les référentiels de vulnérabilités.