Prioriser ses patchs avec le catalogue CISA KEV : la méthode simple qui change tout

Des dizaines de CVE critiques par mois, une équipe qui ne peut pas tout patcher en même temps. La question n'est pas « quelle faille est la plus grave ? » mais « laquelle est déjà exploitée ? ».

Si vous triez vos correctifs uniquement par score CVSS, vous passez votre temps sur des failles sérieuses sur le papier mais jamais exploitées, pendant que des vulnérabilités moins bien notées servent déjà aux attaquants. Le catalogue KEV de la CISA corrige ce biais.

Ce qu'est le catalogue KEV

Le catalogue Known Exploited Vulnerabilities, publié par l'agence américaine CISA, recense les vulnérabilités dont l'exploitation réelle est avérée. Chaque entrée indique le produit, une description, l'action requise et une date limite de correction imposée aux agences fédérales américaines. Il est gratuit, mis à jour en continu et téléchargeable en CSV ou JSON.

Pourquoi c'est un meilleur filtre

Une faille présente dans le KEV n'est plus un risque théorique : quelqu'un s'en sert. C'est exactement l'information qui manque au score CVSS. Les équipements de bordure (firewalls, passerelles VPN, load balancers) y apparaissent régulièrement, ce qui en fait une source incontournable pour une équipe réseau. Ce mois-ci encore, une faille de l'interface de management de PAN-OS (CVE-2026–0322) y a été ajoutée (The Hacker News).

La méthode en 4 étapes

1. Croiser le KEV avec votre inventaire : constructeurs, produits et versions. Un simple script sur le flux JSON suffit pour démarrer.
2. Traiter les correspondances en priorité absolue, en commençant par ce qui est exposé à Internet.
3. Se fixer un délai interne : par exemple 48 heures pour un équipement exposé, une semaine pour l'interne. Appliquer un workaround en attendant si le patch tarde.
4. Vérifier chaque semaine les nouvelles entrées, ou automatiser une alerte.

Compléter avec EPSS

Le KEV ne couvre que l'exploitation confirmée. Pour estimer la probabilité qu'une faille soit exploitée prochainement, le score EPSS du FIRST est un bon complément. En pratique : KEV d'abord, EPSS élevé ensuite, puis le reste selon le CVSS et votre exposition.

En résumé

Le score CVSS dit ce qui pourrait arriver, le KEV dit ce qui arrive déjà. En croisant le catalogue CISA KEV avec votre inventaire chaque semaine, vous concentrez vos efforts là où le risque est réel.

Suivez la page pour recevoir chaque matin un article sur la sécurité réseau et les firewalls.