La CISA abandonne son bulletin sur les vulnérabilités: quel impact pour les petites équipes?
La CISA cessera de publier son bulletin hebdomadaire sur les vulnérabilités le 28 septembre et privilégie désormais une gestion fondée sur le risque réel. Pour les entreprises suisses, cette évolution souligne l’importance de diversifier les sources de veille et de contextualiser la priorité des correctifs.
La Cybersecurity and Infrastructure Security Agency (CISA) mettra fin le 28 septembre à son bulletin hebdomadaire consacré aux vulnérabilités. Ce changement concerne les abonnés au service ainsi que les équipes de sécurité, opérateurs d’infrastructures critiques et autres acteurs qui s’appuyaient sur ces synthèses hebdomadaires basées sur les scores CVSS.
La CISA continuera à diffuser ses informations via son catalogue Known Exploited Vulnerabilities (KEV), ses alertes et avis de cybersécurité ainsi que le catalogue CVE. Elle recommande également de consulter directement les avis publiés par les éditeurs et fournisseurs. Les abonnés au bulletin sont invités à modifier leurs préférences GovDelivery ou Granicus pour continuer à recevoir les notifications du catalogue KEV et les avis de cybersécurité.
Du score de sévérité au risque réel
Contacté par la rédaction, Jérémy Voisin, directeur de Cheops Cyberdéfense et CISO, estime que ce changement de logique répond aux limites d’une priorisation reposant uniquement sur le CVSS. «Se baser uniquement sur le CVSS n’est plus viable en 2026», explique-t-il. L’exploitabilité d’une faille et son impact potentiel entrent selon lui dans l’équation, au même titre que la criticité et le rôle métier de l’actif concerné. «Sans la criticité de l’actif et son rôle métier, on priorise dans le vide.»
L’expert rapproche cette logique de l’approche CTEM (Continuous Threat Exposure Management), qui élargit l’analyse au-delà des seules vulnérabilités CVE. Elle englobe notamment les mauvaises configurations, les identités, les secrets fuités ou encore le shadow IT afin d’évaluer plus largement l’exposition réelle d’une organisation.
La disparition du bulletin n’aura toutefois pas les mêmes conséquences pour toutes les équipes. Jérémy Voisin indique que son organisation ne l’utilisait déjà pas et agrégeait directement les publications des éditeurs et des différents CERT. Pour les structures plus petites, sans équipe de sécurité dédiée ni accès à des flux de threat intelligence, le bulletin constituait en revanche une synthèse hebdomadaire gratuite et prête à l’emploi. Sa suppression ajoute selon lui «une friction réelle».
Face à la multiplication des sources, l’enjeu consiste selon l’expert à disposer d’«un point d’agrégation unique en entrée, et une logique de priorisation contextuelle en sortie», afin de filtrer et dédupliquer les informations avant leur traitement.
Pour les entreprises suisses, Jérémy Voisin voit surtout dans cette évolution un rappel de l’importance de ne pas dépendre d’une source unique pour la veille sur les vulnérabilités. Il recommande de croiser les avis des éditeurs, les CERT sectoriels, les informations de l’Office fédéral de la cybersécurité (OFCS) ainsi que les sources européennes et américaines. L’enjeu consiste également, selon lui, à développer en interne une capacité de priorisation fondée sur le risque, sans reposer sur un seul score ou catalogue externe.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
