Aucun indicateur unique ne suffit. Une file de remédiation utile combine gravité, probabilité, exploitation observée, exposition et conséquence métier.
CVSS
Le score décrit des caractéristiques techniques de gravité selon une convention. Il ne connaît pas vos actifs, vos compensations ni votre capacité de restauration.
EPSS et KEV
EPSS estime une probabilité d’exploitation dans les trente jours à partir de données publiques. Le catalogue KEV recense des vulnérabilités dont l’exploitation est connue selon les critères CISA.
Contexte interne
- Produit et version réellement présents.
- Exposition directe ou chemin d’accès indirect.
- Privilèges, données et fonction métier accessibles.
- Exploitation ou tentative observée.
- Mesures compensatoires fiables.
- Fenêtre de changement et risque de correction.
Décision
Créez des classes d’action : urgence immédiate, correction accélérée, planifiée, acceptation temporaire ou non applicable, avec justification et date de réexamen.
Vérification
Confirmez la version, la configuration, le déploiement du correctif et la disparition du chemin d’exploitation. Un ticket fermé n’est pas une preuve technique.
Sources officielles
Sources relues le 2026-07-15.