KEV (vulnérabilités activement exploitées, CISA)

Le KEV est la plus courte liste de la gestion des vulnérabilités et la plus importante. La CISA y ajoute une CVE quand elle dispose de preuves fiables d’exploitation réelle, que la vulnérabilité a un identifiant CVE et qu’il existe une consigne de remédiation claire. Chaque entrée porte une date d’ajout et une date limite à laquelle les agences fédérales américaines doivent avoir agi.

Le catalogue est petit par conception, quelques milliers d’entrées contre un quart de million de CVE, et c’est ce qui permet à une équipe d’en venir à bout. Si une vulnérabilité est au KEV, quelqu’un l’utilise déjà contre de vraies cibles ; le débat sur son exploitation future est clos. Beaucoup d’organisations hors administration fédérale américaine adoptent les dates limites du KEV comme les leurs.

CVSS, EPSS et KEV répondent à trois questions différentes. Le CVSS demande quelle serait la gravité de la vulnérabilité si elle était exploitée, et donne une note de 0 à 10 qui ne change plus une fois publiée. L’EPSS demande quelle est la probabilité qu’elle soit exploitée dans les 30 prochains jours, et donne une probabilité recalculée chaque jour à mesure qu’arrivent les preuves d’exploitation. Le KEV demande si elle est déjà exploitée, et donne un oui ou un non de la CISA. Un CVSS 9,8 avec un EPSS de 0,4 % et sans entrée KEV est une urgence théorique ; un CVSS 6,5 au catalogue KEV en est une pratique. Une priorisation qui n’utilise que le premier nombre corrige les mauvaises choses en premier.