FACTUALRISK Cyber Intelligence
Mise à jour : 4 Jun 2026 · 00:02
← Accueil
🗞 Briefing
💥 Menaces
🛡 Vulnérabilités
📋 Conformité
📚 Guides
← Retour FactualRisk
IntelligenceGuidesLe catalogue KEV

Parmi les milliers de vulnérabilités publiées, le catalogue KEV répond à une question simple et décisive : lesquelles sont réellement exploitées par des attaquants, maintenant ? C'est la liste la plus fiable pour savoir quoi corriger en premier.

L'essentiel décideur
Le KEV (Known Exploited Vulnerabilities) est un catalogue public tenu par la CISA, l'agence de cybersécurité américaine. Il ne recense que les failles dont l'exploitation est avérée dans le monde réel. Là où l'EPSS prédit et le CVSS mesure la gravité, le KEV constate. Une faille de votre parc présente au KEV se corrige en priorité, sans discussion.
Le cycle d'une faille jusqu'au catalogue KEV
CVE publiéeNVD / éditeurExploitationobservée dans la natureAjout au KEV+ date limitede remédiationCorrigeren priorité

Le KEV ne contient que des failles dont l'exploitation est confirmée. C'est une certitude, pas une prédiction : si une CVE de votre parc y figure, elle passe en tête de file.

Pour aller plus loin technique

Le KEV est né de la directive BOD 22-01 de la CISA, qui impose aux agences fédérales américaines de corriger les failles listées avant une date limite (souvent deux semaines après l'ajout). Pour le reste du monde, il n'a pas de valeur contraignante — mais une valeur opérationnelle énorme : c'est une liste curée, gratuite et faisant autorité des failles que les attaquants utilisent réellement.

Chaque entrée précise notamment le produit concerné, la date d'ajout, l'échéance de remédiation et si la faille est liée à des campagnes de ransomware. Le catalogue est consommable en CSV et JSON, ce qui permet de le croiser automatiquement avec votre inventaire.

KEV vs EPSS : ne les opposez pas, combinez-les. Le KEV = certitude d'exploitation (priorité absolue). L'EPSS = probabilité, utile pour trier tout ce qui n'est pas encore au KEV. Une faille peut avoir un EPSS modeste et basculer au KEV du jour au lendemain.

En pratique chez vous

Sur FactualRisk, le badge KEV est affiché sur chaque fiche CVE concernée, et ces failles remontent automatiquement en priorité maximale (P0).

Pour aller plus loin
Comprendre l'EPSSPrioriser sans équipe sécuVoir les CVE au KEV
Prioriser ça dans VOTRE SI ?

La donnée est gratuite. Pour un avis sur l'impact réel sur votre parc et un plan de remédiation, on en parle.

Réserver un call 30 min →