CVE contre KEV : pourquoi les chiffres de croissance des vulnérabilités ne racontent pas toute l'histoire

Chaque année, le monde de la cybersécurité publie plus de vulnérabilités que jamais. La base de données CVE continue de croître à un rythme impressionnant, et les scanners de vulnérabilités signalent consciencieusement des milliers de résultats dans des tableaux de bord à travers le monde.

Dans le même temps, une liste bien plus restreinte, le catalogue Known Exploited Vulnerabilities (KEV), croît beaucoup plus lentement.

Cela soulève une question importante pour les équipes de sécurité et les décideurs :

Si le nombre de CVE explose chaque année, pourquoi le KEV ne suit-il pas la même courbe ? Et surtout : sur lequel des deux les organisations devraient-elles réellement concentrer leur attention ?

Ce graphique illustre les courbes de croissance divergentes de la base de données CVE et du catalogue Known Exploited Vulnerabilities (KEV) entre 2021 et 2025. Alors que le volume de CVE croît rapidement en raison de l'ampleur des divulgations et de l'automatisation, le KEV croît lentement car il s'agit d'un ensemble sélectionné de vulnérabilités activement exploitées dans la nature. Cette différence souligne pourquoi la priorisation fondée sur le risque compte davantage que le simple décompte brut des vulnérabilités.

La croissance des CVE reflète la divulgation, pas le danger

Le système Common Vulnerabilities and Exposures (CVE) n'a jamais été conçu pour mesurer le risque réel. Son objectif est la transparence. Dès qu'une vulnérabilité est divulguée de manière responsable et validée, elle peut recevoir un identifiant CVE, indépendamment du fait que les attaquants s'y intéressent un jour ou non.

Ce choix de conception explique la courbe de croissance abrupte. Ces dernières années, le nombre de nouvelles CVE publiées est passé d'environ 20 000 en 2021 à plus de 31 000 en 2024, et 2025 poursuit cette accélération avec plus de 33 000 CVE publiées. Cela signifie que le paysage mondial des vulnérabilités s'étend désormais d'environ quatre-vingt-dix nouvelles CVE chaque jour, la plupart divulguées bien avant que l'on sache si les attaquants s'y intéresseront un jour.

La croissance continue en 2025 s'explique en grande partie par une automatisation accrue de la découverte des vulnérabilités, un nombre croissant de CVE Numbering Authorities (CNA), et une meilleure visibilité sur la chaîne d'approvisionnement logicielle et les environnements cloud-natifs, plutôt que par une soudaine multiplication de véritables nouvelles techniques d'attaque.

L'écosystème CVE, coordonné par le CVE Program (https://nvd.nist.gov/general/cve-process), fait un excellent travail de catalogage de tout ce qui pourrait poser problème. Mais cette exhaustivité a un coût, à savoir du volume sans priorisation.

Pour les organisations, cela se traduit souvent par de longs arriérés de vulnérabilités, des cycles de correctifs interminables, et des tableaux de bord remplis de constats « critiques » qui ne seront peut-être jamais exploités.

Le KEV croît lentement parce que les attaquants sont sélectifs

Le catalogue Known Exploited Vulnerabilities (KEV) existe pour une raison bien différente. Maintenu par CISA (https://www.cisa.gov/), le KEV n'inclut que les vulnérabilités activement exploitées dans la nature et étayées par des preuves crédibles.

La croissance du catalogue Known Exploited Vulnerabilities raconte une tout autre histoire. Depuis son introduction en 2021, le KEV est passé d'environ 300 entrées à environ 1 200 fin 2024. En 2025, le catalogue a encore progressé pour atteindre environ 1 350 vulnérabilités connues comme exploitées. Comparé aux dizaines de milliers de CVE publiées sur la même période, le KEV continue de représenter bien moins de deux pour cent du paysage total des vulnérabilités, tout en concentrant une part disproportionnée de l'activité d'attaque réelle.

Cette croissance lente n'est pas une faiblesse. Elle reflète une vérité fondamentale sur la cybercriminalité, à savoir que les attaquants ne poursuivent pas chaque vulnérabilité. Ils se concentrent sur ce qui est fiable, scalable et rentable. Une fois qu'un exploit fonctionne, il a tendance à être réutilisé, parfois pendant des années.

Autrement dit, le KEV reflète le comportement des attaquants, et non le volume des divulgations.

Pourquoi une croissance équivalente serait un signal d'alarme

Si le KEV croissait à la même vitesse que le CVE, cela indiquerait en réalité un problème. Cela signifierait soit que chaque vulnérabilité est instantanément transformée en arme (ce qui n'est pas le cas), soit que le KEV aurait perdu sa capacité de filtrage.

Le CVE répond à la question « Qu'est-ce qui existe ? »

Le KEV répond à la question bien plus urgente « Qu'est-ce qui est utilisé contre les organisations en ce moment même ? »

Comprendre cette distinction est essentiel pour une gestion moderne des vulnérabilités.

Notre point de vue : les vulnérabilités théoriques n'équivalent pas à un risque réel

Chez Guardian360, nous pensons que les organisations passent bien trop de temps à poursuivre un risque théorique.

La gestion traditionnelle des vulnérabilités traite souvent toutes les CVE de manière égale, en s'appuyant fortement sur les scores CVSS et les décomptes bruts. Cette approche semble rigoureuse sur le papier, mais dans la pratique, elle entraîne une lassitude face aux correctifs, une utilisation inefficace des ressources et un faux sentiment de maîtrise.

Une CVE à sévérité élevée qui n'est jamais exploitée ne représente pas le même risque qu'une vulnérabilité au score modéré que les attaquants exploitent activement. Pourtant, de nombreux outils continuent de prioriser la première par rapport à la seconde.

C'est pourquoi nous sommes convaincus que les organisations devraient déplacer leur attention de « Combien de vulnérabilités avons-nous ? » vers « Quelles vulnérabilités menacent réellement notre activité ? »

Comment Guardian360 Lighthouse soutient la priorisation fondée sur le risque

La plateforme Guardian360 Lighthouse est bâtie précisément autour de ce principe. Plutôt que de submerger les partenaires et les clients de listes interminables de vulnérabilités, Lighthouse évolue vers un modèle de scan et de priorisation fondé sur le risque.

En combinant :

• les données techniques de vulnérabilité (CVE),
• le renseignement sur l'exploitation (tel que le KEV),
• et le contexte métier (pertinence des actifs, exposition et impact),

Lighthouse aide les partenaires à concentrer leurs efforts de remédiation là où ils comptent le plus. Cela s'aligne naturellement avec des référentiels modernes tels qu'ISO 27001 et NIS2, qui mettent de plus en plus l'accent sur la prise de décision fondée sur le risque plutôt que sur une simple conformité de type check-list.

L'objectif n'est pas de réduire le nombre de scans, mais d'obtenir des résultats plus intelligents.

Lire correctement les courbes de croissance

La différence visuelle entre les courbes de croissance du CVE et du KEV raconte une histoire claire. L'une monte fortement, portée par la divulgation et la transparence. L'autre progresse lentement, portée par des abus confirmés dans le monde réel.

Cet écart n'est pas quelque chose à « résoudre ». C'est quelque chose à exploiter.

Car réduire le risque cyber ne consiste pas à corriger tout ce qui pourrait mal tourner, mais à traiter ce qui est en train de mal tourner.

Réflexion finale

Le CVE nous donne de la visibilité.

Le KEV nous donne du focus.

Et des plateformes fondées sur le risque comme Guardian360 Lighthouse existent pour combler cet écart, afin que les organisations passent moins de temps à réagir au bruit, et plus de temps à réduire un risque réel et mesurable.