CVE Triage

Définition

Le CVE Triage (triage des vulnérabilités CVE) est le processus d'évaluation, de priorisation, et d'attribution des CVEs (Common Vulnerabilities and Exposures) identifiées dans les actifs logiciels d'une organisation. Avec des centaines à des milliers de nouvelles CVEs publiées chaque semaine, le triage efficace est indispensable pour concentrer les efforts de remédiation sur les vulnérabilités présentant le risque réel le plus élevé pour l'organisation spécifique, plutôt que de traiter toutes les CVEs de manière égale. Le triage d'une CVE évalue plusieurs dimensions. La sévérité de base (score CVSS) : une première indication de la gravité potentielle, mais insuffisante seule car elle ne tient pas compte du contexte de l'organisation. L'applicabilité : est-ce que le composant vulnérable est réellement utilisé par l'organisation ? La CVE affecte-t-elle le code réellement appelé ou uniquement une partie non utilisée (c'est le principe des VEX statements) ? L'exploitabilité contextuelle : un exploit public est-il disponible ? La vulnérabilité est-elle exploitable dans la configuration spécifique de l'organisation (la fonctionnalité vulnérable est-elle accessible depuis Internet ?) ? L'impact business : l'actif affecté traite-t-il des données critiques ou des données publiques non sensibles ? Des frameworks de triage enrichi améliorent la priorisation au-delà du CVSS brut. EPSS (Exploit Prediction Scoring System) calcule la probabilité d'exploitation dans les 30 prochains jours basée sur des données d'exploitation observées en temps réel — un score EPSS élevé (>70%) sur une CVE critique justifie une priorisation immédiate. SSVC (Stakeholder-Specific Vulnerability Categorization) du CISA évalue l'exploitabilité, l'impact sur la mission, et la présence d'un correctif pour produire une décision de triage binaire (fix now / schedule later / defer / ignore). La CISA KEV (Known Exploited Vulnerabilities) catalog liste les CVEs activement exploitées contre des organisations réelles — toute CVE dans la KEV présente dans votre stack doit être traitée en priorité absolue, quelle que soit sa configuration locale.