Une version ne dit pas tout
Une version installée n’indique pas à elle seule si un logiciel est vulnérable. Le résultat dépend aussi de l’édition, de la branche, des composants utilisés et des correctifs rétroportés par l’éditeur. Une version ancienne n’est pas toujours vulnérable à une CVE donnée ; une version récente n’est pas forcément exempte de failles.
Quatre informations à croiser
- Produit : éditeur, édition et composants exacts.
- Version : numéro, branche maintenue et fin de support éventuelle.
- Avis : CVE, bulletin de l’éditeur, plages affectées et correctif applicable.
- Contexte : exposition à Internet, privilèges et importance du service.
Pourquoi le score CVSS ne suffit pas
Le CVSS aide à qualifier la gravité technique, mais ne reflète pas toutes les conditions de votre infrastructure. Une console d’administration exposée peut demander une correction prioritaire même avec un score inférieur à celui d’une bibliothèque isolée. Le catalogue KEV de la CISA aide à repérer des vulnérabilités dont l’exploitation est connue. Une absence du catalogue ne garantit pas l’absence d’exploitation.
Trois exemples
- Serveur web exposé : confirmer la version concernée, sauvegarder, tester puis appliquer le correctif.
- Bibliothèque installée mais non utilisée : vérifier les prérequis de la faille avant de définir la priorité.
- Application hors support : réduire l’exposition et planifier la migration même si aucun correctif n’existe.
Une méthode en cinq étapes
- Inventorier les logiciels, leurs versions et leurs responsables.
- Consulter les fiches NVD et les avis des éditeurs.
- Vérifier les plages de versions et les conditions d’exploitation.
- Prioriser selon l’exposition, la criticité et les indices d’exploitation active.
- Corriger ou atténuer le risque, puis contrôler le résultat.
Passer de l’inventaire à l’action
La Veille logiciels TechAtelier est un point d’entrée pour rechercher et suivre les logiciels. Elle ne remplace ni les bulletins éditeurs, ni l’analyse de votre contexte, ni les tests avant mise à jour.
À retenir : la bonne question n’est pas seulement « quelle version ai-je ? », mais « suis-je concerné, exposé, et quelle action dois-je mener ? »
Guide publié le 18 octobre 2026.