# CVSS, EPSS et KEV : prioriser les correctifs sans se noyer

- Link: https://dpioch.aristeecampus.org/veille/cvss-epss-et-kev-prioriser-les-correctifs-sans-se-noyer/
- Published: 2026-08-25T09:00:00+02:00
- Author: Admin

[⌊Capture réelle de la page source : FIRST — EPSS⌉⌊Capture réelle de la page source:
FIRST — EPSS⌉[

Page du site FIRST.org présentant l’EPSS (Exploit Prediction Scoring System), système
de notation prédictive d’exploitation des CVE. Capture du 7 octobre 2026. [Consulter la source](https://www.first.org/epss/)

## Contexte

Des dizaines de milliers de CVE sont publiées chaque année. Aucune équipe ne peut
tout corriger immédiatement : il faut prioriser.

## Analyse

 * **CVSS** (FIRST) note la sévérité intrinsèque de 0 à 10. Utile, mais de nombreuses
   CVE sont classées de sévérité élevée ou critique.
 * **EPSS** (FIRST) estime la probabilité qu’une vulnérabilité soit exploitée dans
   les 30 jours suivants.
 * **KEV** (CISA) liste les vulnérabilités dont l’exploitation active est confirmée,
   avec une date limite de correction pour les agences fédérales américaines.

## À retenir

 * Corriger en priorité ce qui est dans KEV et exposé sur Internet.
 * Utiliser EPSS pour départager les CVE de même score CVSS.
 * Le catalogue KEV de la CISA permet de suivre les vulnérabilités dont l’exploitation
   est confirmée.