Lire un avis de sécurité constructeur sans paniquer : la méthode en 5 questions

CVSS 9.8, « critique », « exploitée »… Un advisory PSIRT ne se lit pas comme un titre de presse. Voici comment évaluer en dix minutes si vous êtes vraiment exposé.

Chaque semaine, Fortinet, Palo Alto, Cisco ou F5 publient des avis de sécurité. Le réflexe naturel est de regarder le score CVSS et de paniquer, ou au contraire de tout remettre à plus tard. Les deux sont de mauvaises idées. Un avis constructeur contient presque toujours les informations pour trancher, à condition de savoir où les chercher.

1. Le produit et la version sont-ils les miens ?

Commencez par la section des versions affectées. Comparez-la à votre inventaire réel, branche par branche : une faille sur FortiOS 7.4 ne concerne pas forcément la 7.2. Si vous n'avez pas d'inventaire à jour des versions, c'est le premier chantier à lancer.

2. La fonctionnalité vulnérable est-elle activée chez moi ?

Beaucoup de failles ne touchent qu'une fonction précise : portail VPN SSL, GlobalProtect, interface web d'administration, un protocole de routage. Les avis le précisent souvent dans une section « configuration vulnérable ». Si la fonction est désactivée, le risque tombe fortement, même si la version est concernée.

3. Qui peut atteindre le composant vulnérable ?

Le vecteur d'attaque (réseau, adjacent, local) et le besoin d'authentification sont dans le vecteur CVSS. Une faille non authentifiée sur une interface exposée à Internet est une urgence. La même faille sur une interface de management joignable uniquement depuis un bastion laisse quelques jours de marge.

4. La faille est-elle exploitée ?

C'est le critère qui doit faire passer une CVE devant toutes les autres. Regardez la mention d'exploitation dans l'avis, puis vérifiez le catalogue CISA KEV, qui recense les vulnérabilités dont l'exploitation est confirmée.

5. Quel est le chemin de correction ?

Notez la version corrigée pour votre branche et le workaround éventuel. Un workaround bien appliqué, comme désactiver une fonction ou filtrer l'accès, permet de passer en sécurité le temps de planifier l'upgrade proprement.

Le score CVSS, oui, mais pas seul

Le CVSS mesure la gravité technique dans l'absolu, pas votre risque. La version 4.0 du standard, publiée par le FIRST, sépare d'ailleurs mieux la sévérité de base du contexte d'exploitation. Croisez toujours le score avec vos réponses aux cinq questions.

Une grille simple pour décider

• Exploitée + exposée : correctif ou workaround dans les 24 à 48 heures.
• Critique + exposée, non exploitée : planifier sous une semaine, workaround immédiat.
• Non exposée ou fonction désactivée : intégrer au cycle de patch normal.

Pour suivre les avis à la source : FortiGuard PSIRT, Palo Alto Security Advisories et le portail de sécurité Cisco.

Suivez la page pour recevoir chaque matin un article sur la sécurité réseau et les firewalls.