Zero-day, CVE, CVSS et KEV : comment lire un avis de sécurité et en combien de temps corriger dans une PME

Publié le 10 novembre 2026 · L'équipe mitza.es

« Zero-day critique avec un CVSS de 9,8 dans le catalogue KEV ». Une phrase comme celle-là peut alarmer ou ennuyer, et aucune de ces deux réactions n'aide. La plupart des avis de sécurité que vous voyez dans la presse ne vous concernent pas ; quelques-uns, oui, et exigent d'agir le jour même. Ce guide vous donne le vocabulaire et une méthode simple pour les distinguer, pensés pour une PME sans service de sécurité.

Glossaire rapide, sans jargon

• Vulnérabilité : une faille dans un programme ou un équipement qui permet de faire quelque chose qu'on ne devrait pas pouvoir faire (entrer sans mot de passe, exécuter des commandes, voir les données d'autrui).
• CVE : le « numéro d'identité » public d'une vulnérabilité précise, au format CVE-année-numéro (par exemple, CVE-2026-98432). Il permet à tout le monde de parler de la même faille, qu'elle ait ou non un nom commercial.
• CVSS : un score de 0 à 10 sur la gravité technique. L'échelle habituelle le classe ainsi : 0,1–3,9 faible ; 4,0–6,9 moyenne ; 7,0–8,9 élevée ; 9,0–10 critique. Il mesure à quel point la faille serait grave, pas si quelqu'un est en train de l'attaquer.
• Zero-day : à proprement parler, une faille exploitée avant que l'éditeur ne dispose d'un correctif. Le terme s'emploie avec des nuances : Microsoft l'applique aussi à des failles rendues publiques avant d'être corrigées. Un zero-day exploité est le cas le plus urgent.
• Exploit : le code ou la technique qui tire parti de la vulnérabilité. « Il existe un exploit public » signifie qu'attaquer est plus facile.
• KEV : le catalogue des vulnérabilités exploitées connues de l'agence américaine CISA. Si une faille y figure, il existe des preuves d'exploitation réelle. Les dates limites qu'il fixe concernent les agences fédérales américaines, mais la liste est un signal utile pour tout le monde.
• CWE : le type de faiblesse à l'origine de la faille (par exemple, une condition de concurrence ou l'utilisation de la mémoire après sa libération). C'est une information pour les techniciens ; vous n'en avez pas besoin pour décider.
• EPSS : une estimation statistique de la probabilité qu'une faille soit exploitée dans les 30 prochains jours. Il complète le CVSS.
• Correctif, mise à jour et atténuation : le correctif corrige la faille ; l'atténuation est une mesure temporaire quand il n'existe pas encore de correctif (par exemple, fermer un port ou désactiver une fonction).
• Patch Tuesday : le deuxième mardi de chaque mois, Microsoft publie ses mises à jour de sécurité.

Les cinq questions pour lire n'importe quel avis

1. Est-ce que j'utilise ce produit et cette version ? La plupart des avis s'écartent dès ici. C'est pourquoi il faut un inventaire, ne serait-ce qu'une feuille de calcul.
2. Est-elle déjà exploitée ? Cherchez des expressions comme « exploitée dans la nature » ou l'inclusion dans le catalogue KEV. C'est la question qui change le plus la priorité.
3. Est-elle exposée à internet ? Un VPN, un pare-feu, un site web ou un serveur de messagerie accessibles depuis l'extérieur sont des cibles immédiates. Un équipement accessible uniquement depuis le réseau interne laisse un peu plus de marge.
4. Existe-t-il un correctif ou seulement une atténuation ? S'il n'y a qu'une atténuation, appliquez-la et surveillez l'avis jusqu'à la publication de la correction.
5. Que se passe-t-il si la mise à jour se passe mal ? Avant de corriger, ayez une sauvegarde et un plan de retour en arrière, surtout sur les serveurs et les sites web. Nous expliquons ici la règle 3-2-1 des sauvegardes.

Pourquoi le score ne suffit pas : deux exemples de cette saison

Un 9,8 fait plus peur qu'un 8,1, mais l'ordre d'action peut être l'inverse. Regardez deux avis que nous avons analysés ce mois-ci :

• La faille du noyau Linux CVE-2026-98432 a un CVSS de 9,8, mais dans les avis de Red Hat que nous avons consultés, elle ne figurait pas comme exploitée et son exploitation exige un minutage précis.
• La faille de WordPress CVE-2026-119977 a un score plus bas selon l'analyse que nous citons (8,1), mais CISA l'a incluse dans son catalogue pour exploitation active. Pour un site WordPress, c'est celle qu'il faut traiter en premier.

La règle pratique : exploitée + exposée à internet l'emporte toujours sur « score élevé mais théorique ». Plus que le score, ce qui décide de l'urgence, c'est le contexte de votre entreprise : ce que vous avez d'exposé et quelles données se trouvent derrière.

Des délais de correctif raisonnables pour une PME

Ni NIS2 ni le RGPD ne fixent un délai en heures pour appliquer les correctifs : ils exigent des mesures adaptées au risque. Ces délais sont une référence pratique courante dans les petites entreprises, pas une obligation légale :

• Exploitée et exposée à internet : sous 24–48 heures. S'il n'y a pas de correctif, atténuation immédiate.
• Critique (CVSS 9 ou plus) et exposée, sans exploitation connue : sous 72 heures.
• Élevée (7,0–8,9) : sous 7 jours.
• Moyenne : dans le cycle mensuel de maintenance.
• Faible : avec la prochaine mise à jour normale.

Après avoir corrigé une faille exploitée, ne vous arrêtez pas à « c'est fait » : vérifiez s'il y a eu une intrusion avant le correctif (nouveaux utilisateurs, fichiers modifiés, journaux étranges). Dans le cas du VPN d'Ivanti, c'était particulièrement important car l'attaque laissait peu de traces.

Où vous informer de ce qui vous concerne

• INCIBE-CERT : publie des avis de vulnérabilités en espagnol ; l'INCIBE (l'institut espagnol de cybersécurité) offre en outre une aide gratuite au 017.
• Le fabricant : abonnez-vous aux avis des produits que vous utilisez (VPN, pare-feu, commutateurs, NAS, WordPress, navigateurs).
• Le catalogue KEV de CISA : pour savoir quelles failles sont réellement exploitées.
• Votre prestataire informatique : demandez-lui de vous prévenir par écrit des failles critiques qui touchent votre entreprise et du délai dans lequel il les corrigera.

Quels équipements surveiller en premier

Donnez la priorité à ce qui est exposé ou constitue la porte d'entrée : VPN, pare-feu, passerelle de messagerie, serveur web, équipements réseau et navigateurs. Ces dernières semaines, nous avons vu des avis dans chaque catégorie :

• Navigateur : le huitième zero-day de Chrome en 2026.
• Équipements réseau : les commutateurs Zyxel GS1900, le VPN d'Ivanti et les Citrix NetScaler.
• Serveurs : le noyau Linux et OpenSSH sur Alpine.
• Sites web : WordPress 7.1.4 et les extensions exploitées.
• Postes de travail : le Patch Tuesday d'octobre.

Un processus minimal de gestion des correctifs

1. Inventaire : quels équipements, programmes et versions vous avez, et qui est responsable de chacun.
2. Abonnement aux avis des produits de l'inventaire.
3. Classement avec les cinq questions ci-dessus et les délais de référence.
4. Test et sauvegarde avant d'appliquer, surtout sur les serveurs et les sites web.
5. Vérification et traçabilité : contrôlez la version finale et notez la date, l'équipement et qui l'a fait. C'est ce qu'on vous demandera si un jour vous devez justifier vos mesures, par exemple dans le cadre de la réglementation NIS2.

Questions rapides

Dois-je lire tous les avis ?

Non. Avec un inventaire et deux abonnements, la plupart s'écartent en quelques secondes. L'objectif est de ne pas rater le petit pourcentage qui vous concerne vraiment.

Que faire si le fabricant ne publie pas de correctif ?

Appliquez l'atténuation qu'il recommande, limitez l'exposition de l'équipement et envisagez de le remplacer si le fabricant l'abandonne. Un équipement sans support est un risque permanent.

Les correctifs peuvent-ils casser des choses ?

Parfois. C'est pourquoi on les applique avec une sauvegarde et, autant que possible, d'abord dans un environnement de test. Le risque de ne pas corriger une faille exploitée est généralement plus grand que celui d'une mise à jour.

Une assurance cyber a-t-elle du sens ?

C'est un complément, pas un substitut à l'application des correctifs, et les assureurs posent souvent des questions sur ces pratiques. Vous en saurez plus dans combien coûte une cyberassurance pour une PME.

Comment Mitza peut vous aider

Nous faisons l'inventaire, nous surveillons les avis qui vous concernent et nous appliquons les correctifs avec sauvegarde préalable et traçabilité. Découvrez notre maintenance informatique pour PME, l'audit de sécurité web ou exposez-nous votre cas depuis la page de contact.

À lire aussi : qu'est-ce qu'un pare-feu et de quoi une PME a besoin et le ransomware dans les entreprises espagnoles.

Voir aussi : le Patch Tuesday de novembre 2026 (zero-day d'Outlook) et N-able N-central et que demander à votre prestataire informatique.