L’agence de cybersécurité américaine, CISA, maintient un répertoire officiel répertoriant les vulnérabilités qui ont été activement exploitées sur le terrain. Ce catalogue, connu sous l’acronyme KEV, est explicitement destiné aux professionnels de la défense pour les aider à hiérarchiser la gestion de leurs failles et à suivre l’activité des menaces. Les organisations sont encouragées à intégrer ce catalogue dans leur cadre de priorisation des vulnérabilités.

Ce n’est pas une liste exhaustive de chaque faille existante, mais une sélection des menaces dont l’exploitation est déjà avérée dans le monde réel. Le catalogue KEV est disponible en formats CSV, JSON et une vue imprimable, ce qui facilite l’intégration de cette donnée brute dans les systèmes de gestion de sécurité.

Face à cette pression accrue, les outils d’aide à la décision deviennent essentiels. Cloudflare, par exemple, a récemment lancé Zero Wire, un flux d’intelligence publique sur son Radar. Ce service vise à apporter la clarté d’un fil d’actualité aux développements critiques en matière de sécurité, allant au-delà d’un simple catalogue de CVE.

Zero Wire se concentre sur les logiciels exposés à Internet, qu’il s’agisse de vulnérabilités dans les applications web ou les librairies dépendances. Il ne vise pas à remplacer les avis des éditeurs, mais plutôt à les compléter en fournissant une explication simple de la faille, indiquant qui doit enquêter et quelles actions sont recommandées. L’approche est délibérément épurée, conçue pour permettre à un CISO de saisir rapidement l’enjeu, tout en offrant à un ingénieur le chemin direct vers la documentation technique nécessaire à la remédiation.

La distinction entre sévérité et exploitation active

Il est important de bien faire la distinction entre la sévérité d’une vulnérabilité et la preuve d’une exploitation active. Ces deux concepts ne sont pas synonymes, et les équipes de sécurité doivent évaluer ces deux dimensions pour prendre des décisions éclairées. Les briefings de Zero Wire indiquent clairement le statut : « Needs attention » pour les problèmes nécessitant une évaluation active, y compris ceux avec une exploitation connue, ou « Reference » une fois que les consignes se sont stabilisées.

Les exemples concrets illustrent cette complexité. Une faille dans le runtime PHP, comme celle signalée récemment avec php2shell, ne se résout pas uniquement en mettant à jour le code applicatif ou un plugin. C’est le moteur sous-jacent qui doit être corrigé, et la plateforme d’information aide à identifier le bon propriétaire de système pour cette mise à jour du runtime.

Outiller la réponse aux incidents avec l’IA

La vitesse à laquelle les découvertes de vulnérabilités se multiplient, poussée par l’analyse de gros référentiels de code par l’Intelligence Artificielle, met une pression inédite sur les équipes de sécurité. Cette accélération de la découverte signifie que la capacité à comprendre l’impact de chaque nouvelle annonce devient une tâche gargantuesque.

Pour aider à gérer cette charge, des outils commencent à intégrer des capacités d’agents IA. Cloudflare partage d’ailleurs un prompt pré-construit que les équipes peuvent utiliser avec leurs agents pour réaliser une évaluation de l’exposition. Cet outil permet une évaluation lecture seule des logiciels déployés, des correctifs disponibles et du niveau d’exposition. On y voit une tentative de rationaliser le passage d’une alerte brute à un plan d’action concret, qu’il s’agisse d’identifier les déploiements affectés ou de maintenir des contrôles compensatoires en attendant un patch.

Le catalogue KEV de CISA sert de point de départ autoritaire, mais des outils comme Zero Wire cherchent à fournir la méthodologie pour transformer cette donnée en une conversation technique concrète avec les équipes opérationnelles. La question demeure : comment les entreprises intégreront-elles ces flux d’information disparates pour construire une stratégie de défense qui soit à la fois rapide et précise face à une menace en mouvement.

Sources

• Known Exploited Vulnerabilities Catalog | CISA, cisa.gov
• Introducing Zero Wire, a hub for investigating critical Internet vulnerabilities, Cloudflare, 3 novembre 2026