CVSS ne suffit pas : pourquoi le score EPSS change la façon de prioriser les vulnérabilités
Une CVE notée « critique » n'est pas forcément celle qu'un attaquant va réellement utiliser. Trois cas réels, tirés de nos propres scans, pour comprendre pourquoi.
18 octobre 2026 · Équipe SunuCyberSecurity
CVE distinctes identifiées à ce jour par nos scans automatisés
probabilité d'exploitation réelle (EPSS) d'une CVE notée seulement « moyenne » par le CVSS
probabilité d'exploitation réelle d'une CVE notée « haute » par le CVSS
correspondances CVE au total dans nos scans — trop pour tout traiter à la fois
Source : base de vulnérabilités de notre plateforme + score EPSS en direct (FIRST.org) — données au 18 octobre 2026
Le CVSS (Common Vulnerability Scoring System) répond à une seule question : « si cette faille est exploitée, quelle est la gravité technique de l'impact ? ». Il ne dit rien sur la probabilité que quelqu'un l'exploite réellement. L'EPSS (Exploit Prediction Scoring System, maintenu par FIRST.org) répond à l'autre question : à partir de données d'exploitation observées dans le monde réel — scans massifs, honeypots, discussions techniques publiques — il estime la probabilité qu'une CVE donnée soit exploitée dans les 30 prochains jours. Les deux scores mesurent des choses différentes, et les confondre pousse à mal prioriser.
Le problème du CVSS seul
Nos scans ont identifié à ce jour 423 correspondances CVE, soit 158 vulnérabilités distinctes. Si on priorise uniquement par note CVSS, une bonne partie atterrit en « haute » ou « critique » — bien plus qu'une équipe technique ne peut traiter en même temps. Le CVSS seul ne permet pas de choisir par quoi commencer : il indique la gravité potentielle, pas le risque réel du moment.
Trois cas réels, tirés de nos propres scans
Voici trois CVE réellement identifiées par notre plateforme (sans préciser sur quelle cible — seule la CVE compte ici), avec leur score CVSS et leur score EPSS réel au 18 octobre 2026 :
Probabilité d'exploitation réelle (EPSS), trois CVE réelles
Source : EPSS en direct, FIRST.org — 18 octobre 2026
CVE-2023-48795 (Terrapin) — CVSS 5,9 « moyenne », EPSS 93,5%
Une faille dans le protocole de transport SSH qui permet de contourner des contrôles d'intégrité et de dégrader certaines protections de la connexion. Notée « moyenne » par le CVSS, mais son score EPSS la place dans le top 0,2% des CVE les plus susceptibles d'être exploitées — c'est l'exemple inverse de ce qu'une priorisation au CVSS seul laisserait penser.
CVE-2023-38408 (ssh-agent) — CVSS 9,8 « critique », EPSS 79,7%
Une exécution de code à distance via la fonctionnalité PKCS#11 de ssh-agent, si l'agent est transféré vers un système contrôlé par un attaquant. Ici, CVSS et EPSS sont d'accord : gravité élevée et probabilité d'exploitation élevée. C'est le cas où la priorisation classique fonctionne bien.
CVE-2026-60000 (OpenSSH, déni de service) — CVSS 7,5 « haute », EPSS 0,6%
Un déni de service lié à la mauvaise gestion de MaxAuthTries avec l'authentification GSSAPI. Notée « haute » par le CVSS (consommation de ressources via authentifications répétées), mais avec un EPSS proche de la médiane — rien n'indique qu'elle soit activement ciblée aujourd'hui.
Comment nos scans priorisent aujourd'hui — et ce qui manque encore
Le score de sécurité calculé par SunuAI Robot donne déjà un poids non plafonné aux failles critiques et un poids dégressif au-delà des dix premières failles haute/moyenne gravité, pour éviter qu'un scan avec beaucoup de résultats écrase artificiellement la note. Mais à ce jour, ce calcul se base sur le CVSS, pas sur l'EPSS — l'exemple Terrapin ci-dessus montre bien la limite de cette approche : une vraie priorisation par risque réel demanderait de croiser les deux scores, pas seulement d'additionner des sévérités CVSS. C'est une amélioration identifiée, pas encore implémentée.
Base CVE en direct
Consultez notre base CVE locale (plus de 386 000 entrées NVD) pour rechercher une référence précise.
Méthodologie
Les trois CVE citées ont réellement été identifiées par des scans effectués via la plateforme SunuCyberSecurity ; aucune cible ni aucun client n'est précisé. Scores CVSS tels qu'enregistrés par notre plateforme au moment du scan (vérifiés contre la base NVD). Scores EPSS récupérés en direct auprès de l'API publique FIRST.org le 18 octobre 2026 — ces scores évoluent quotidiennement, les chiffres cités sont une photographie à cette date, pas une valeur figée.
À lire aussi
Mettez ces notions en pratique
Un scan gratuit, en quelques minutes, sans carte bancaire.
Scan gratuit