Fiche relue le .
Définition
Le CVSS (Common Vulnerability Scoring System) est un standard ouvert qui note la gravité technique d'une vulnérabilité sur une échelle de 0 à 10. Il repose sur des groupes de métriques - de base (Base), liées à la menace (Threat) et environnementales (Environmental) - qui décrivent la facilité d'exploitation et l'impact. La version en vigueur est CVSS v4.0, publiée par le FIRST.
Pourquoi c'est important
Le CVSS aide à hiérarchiser des milliers de vulnérabilités, mais son score de base seul est souvent mal utilisé. Une CVE notée 9,8 sur un actif isolé et non exposé peut être moins urgente qu'une 6,5 sur un serveur exposé et critique : c'est pourquoi les métriques environnementales et le contexte métier sont essentiels. Coupler le CVSS à des indicateurs d'exploitation réelle (comme l'EPSS ou le catalogue des vulnérabilités activement exploitées) devient la norme d'une priorisation saine. Autrement dit, un score élevé attire l'attention, mais c'est la probabilité d'exploitation combinée à la valeur de l'actif qui doit guider l'ordre des corrections.
Ce que fait AOCSI
Nos rapports ne livrent jamais un score brut sans contexte : ils pondèrent le CVSS par l'exposition, l'exploitabilité et la criticité métier de l'actif. Nous montrons aussi à vos équipes comment lire un vecteur CVSS complet, pour éviter les décisions de correction biaisées. Cette priorisation guide les plans d'action de nos audits de cybersécurité et de nos tests d'intrusion.
Pôle de rattachementAudit de cybersécuritéPrestations et prix