Chaque semaine, des dizaines de nouvelles vulnérabilités sont publiées, et beaucoup sont annoncées comme « critiques ». Aucune petite structure ne peut tout corriger le jour même. La bonne question n’est donc pas « cette faille est-elle grave ? », mais « cette faille est-elle exploitée, et est-elle atteignable chez moi ? ». Voici une méthode simple et documentée pour décider quoi mettre à jour en premier.
L’essentiel en 30 secondes
- Le score CVSS mesure la gravité théorique d’une faille, pas l’urgence réelle.
- Trois signaux comptent davantage : la faille est-elle activement exploitée (catalogue KEV, alertes du CERT-FR), son exploitation est-elle probable (score EPSS), et le système est-il exposé à Internet ?
- Une faille exploitée sur un équipement exposé se corrige en 24 à 72 heures, quitte à couper le service en attendant.
- Sans inventaire à jour, aucune priorisation n’est possible : c’est le vrai point de départ.
Pourquoi le score CVSS ne suffit pas
Le Common Vulnerability Scoring System, aujourd’hui en version 4.0, attribue une note de 0 à 10 selon la gravité technique : accès réseau ou local, complexité, privilèges nécessaires, impact. C’est utile, mais une grande partie des failles notées 9 ou 10 ne seront jamais exploitées, tandis que des failles « moyennes » enchaînées entre elles servent régulièrement dans de vraies attaques.
Le temps joue aussi contre les défenseurs. Le Verizon Data Breach Investigations Report 2026 montre que l’exploitation de vulnérabilités est devenue le premier vecteur d’accès initial (31 % des cas), et que seul un quart des failles critiques activement exploitées avait été entièrement corrigé, avec un délai médian de 43 jours. Pendant ce temps, l’ANSSI constate que les équipements de bordure sont attaqués très peu de temps après la publication des correctifs.
Les quatre signaux à croiser
1. La faille est-elle déjà exploitée ?
C’est le critère numéro un. Deux sources de référence, gratuites :
- le catalogue KEV (Known Exploited Vulnerabilities) de l’agence américaine CISA, qui recense les failles dont l’exploitation est avérée. Il s’enrichit de plusieurs dizaines d’entrées chaque mois : 31 rien qu’en avril 2026, dont 6 « zero-day » ;
- les alertes et avis du CERT-FR, le centre gouvernemental de l’ANSSI, qui signale en français les vulnérabilités exploitées et les correctifs disponibles.
2. L’exploitation est-elle probable ?
Le score EPSS (Exploit Prediction Scoring System), publié par le FIRST, estime la probabilité qu’une faille soit exploitée dans les 30 jours. Une faille à 0,5 % est très différente d’une faille à 60 %, même si leur score CVSS est identique. L’Union européenne propose également sa propre base, l’EUVD, gérée par l’ENISA, qui agrège ces informations.
3. Le système est-il exposé ?
Un pare-feu, un VPN, un serveur web ou une messagerie accessibles depuis Internet passent avant un poste interne. De même, un serveur qui héberge la comptabilité passe avant une imprimante isolée.
4. Quel est l’impact métier ?
Que se passe-t-il si ce système est compromis ? Données clients, paiements, production, continuité de service : la criticité métier départage les cas restants.
La grille de décision
| Situation | Délai cible | Action si le correctif est impossible |
|---|---|---|
| Faille exploitée (KEV ou alerte CERT-FR) sur un système exposé | 24 à 72 h | Couper l’accès Internet du service, restreindre par IP, appliquer le contournement de l’éditeur |
| Faille exploitée sur un système interne | 7 jours | Isoler le système, surveiller les journaux |
| Faille critique non exploitée, EPSS élevé, système exposé | 7 à 14 jours | Durcir la configuration, désactiver la fonction vulnérable |
| Faille critique non exploitée, EPSS faible | Cycle mensuel | Correctif lors de la fenêtre de maintenance |
| Faille moyenne ou faible | Cycle normal | Mises à jour automatiques |
L’agence américaine CISA formalise ce raisonnement dans sa méthode SSVC (arbre de décision), dont cette grille est une version simplifiée adaptée aux petites structures.
La méthode en 6 étapes
- Tenir un inventaire des équipements, systèmes et logiciels, avec leur version et leur exposition. Voir notre guide sur l’inventaire informatique automatisé.
- S’abonner aux alertes : flux du CERT-FR, bulletins de vos éditeurs (pare-feu, NAS, logiciels métier).
- Qualifier chaque alerte en moins de 15 minutes : suis-je concerné ? Est-ce exploité ? Est-ce exposé ?
- Corriger ou contenir selon la grille ci-dessus, et documenter la décision.
- Vérifier que le correctif est réellement appliqué (version, redémarrage effectué) et rechercher d’éventuelles traces de compromission antérieure.
- Remplacer les équipements qui ne reçoivent plus de mises à jour : un matériel en fin de vie est une faille permanente.
Pour automatiser la détection des failles sur votre réseau, un scanner comme Greenbone Community Edition donne une vision objective. Et pour les postes et serveurs, une stratégie de mises à jour contrôlée évite les mauvaises surprises.
Le cas particulier des équipements de bordure
Quand une faille exploitée touche votre pare-feu ou votre VPN, corriger ne suffit pas : l’attaquant a pu entrer avant vous. Appliquez le correctif, puis vérifiez les comptes créés récemment, les modifications de configuration, et changez les mots de passe et certificats stockés sur l’équipement. Plusieurs campagnes récentes ont montré des portes dérobées qui survivaient aux mises à jour.
Questions fréquentes
Faut-il installer toutes les mises à jour dès leur sortie ?
Pour les postes de travail et navigateurs, oui, via les mises à jour automatiques. Pour les serveurs et équipements critiques, il vaut mieux tester rapidement puis déployer selon la grille de priorité, sauf faille activement exploitée qui impose d’agir sans attendre.
Où trouver la liste des failles réellement exploitées ?
Dans le catalogue KEV de la CISA et dans les alertes du CERT-FR. Les deux sont gratuits et mis à jour en continu.
Que faire si l’éditeur n’a pas encore publié de correctif ?
Appliquez les mesures de contournement recommandées, restreignez l’accès au service (filtrage d’adresses IP, désactivation de la fonction vulnérable) et surveillez les journaux jusqu’à la publication du correctif.
Un prestataire peut-il gérer cette veille à ma place ?
Oui, c’est l’un des intérêts de l’infogérance : veille quotidienne, qualification des alertes et application des correctifs selon des délais contractuels.
Sources
- CISA, Known Exploited Vulnerabilities Catalog.
- CERT-FR (ANSSI), alertes et avis de sécurité.
- FIRST, Exploit Prediction Scoring System (EPSS) et CVSS v4.0.
- ENISA, European Vulnerability Database (EUVD).
- Verizon, Data Breach Investigations Report 2026.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Notre service d’infogérance prend en charge la veille et l’application des correctifs. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
