CVSS (score de gravité)
CVSS · Common Vulnerability Scoring System · score CVSS · CVSS v4.0 · CVSS v3.1 · sévérité
Système de notation de 0 à 10 qui mesure la gravité technique d’une vulnérabilité, selon des critères comme la facilité d’exploitation et l’impact sur les données et le service.
En pratique
Le CVSS est maintenu par le FIRST. La version 4.0, publiée en novembre 2023, coexiste avec la version 3.1, encore très utilisée par les bases et les outils. Le score de base décrit la faille elle-même : accès réseau ou local, complexité, privilèges ou action de l’utilisateur requis, impact sur la confidentialité, l’intégrité et la disponibilité ; la v4.0 y ajoute des métriques de menace et d’environnement, avec une nomenclature explicite (CVSS-B, CVSS-BT, CVSS-BE, CVSS-BTE). Les notes se lisent ainsi : faible de 0,1 à 3,9, moyenne de 4,0 à 6,9, élevée de 7,0 à 8,9, critique de 9,0 à 10. Le CVSS mesure la gravité, pas la probabilité d’une attaque.
Cas fictif : une équipe reçoit 400 alertes « élevées » ou « critiques » par mois. En croisant le CVSS avec l’EPSS, le catalogue KEV et l’exposition sur Internet, elle ramène sa liste « à corriger cette semaine » à une douzaine de correctifs.
