Tout savoir sur l'analyse des vulnérabilités : le guide complet pour détecter les failles de sécurité

Qu'est-ce qu'un scan de vulnérabilité ?

L'analyse des vulnérabilités est un processus automatisé qui consiste à examiner les systèmes, les réseaux et les applications à la recherche de failles de sécurité connues, en comparant les configurations et les versions logicielles détectées aux entrées des bases de données de vulnérabilités telles que la National Vulnerability Database (NVD) et le Common Vulnerabilities and Exposures (CVE). Il s'agit d'une étape de détection systématique qui permet à une organisation d'identifier les failles dans ses défenses.

L'urgence de procéder à des analyses de sécurité n'a jamais été aussi grande. Selon le rapport « 2025 Data Breach Investigations Report » de Verizon, l'exploitation des vulnérabilités représentait 20 % de toutes les violations de données, soit une augmentation de 34 % par rapport à l'année précédente. Les attaquants agissent eux aussi plus rapidement. Une étude de VulnCheck montre que le délai médian d'exploitation est tombé à cinq jours, et que 28,96 % des entrées du catalogue KEV (Known Exploited Vulnerabilities) de la CISA ont été exploitées le jour même ou avant la publication du CVE. Lorsque le délai entre la divulgation et l'exploitation se mesure en heures et non plus en mois, l'analyse continue devient une condition de survie.

L'analyse des vulnérabilités est l'une des étapes du cycle de gestion des vulnérabilités, qui englobe la détection, la hiérarchisation, la correction et la vérification. Il est essentiel de bien comprendre le rôle de l'analyse — et ce qu'elle ne couvre pas — pour mettre en place un programme de sécurité efficace.

Analyse des vulnérabilités et activités connexes

Les équipes de sécurité utilisent souvent les termes « analyse », « évaluation », « test d'intrusion » et « gestion des vulnérabilités » de manière interchangeable. Or, ces concepts ne sont pas identiques.

Comparaison entre l'analyse des vulnérabilités, l'évaluation de la sécurité, les tests d'intrusion et la gestion des vulnérabilités.

L'analyse permet d'identifier les failles connues à l'aide d'outils automatisés. L'évaluation intègre cette analyse dans un examen plus large qui comprend une vérification manuelle et une analyse contextuelle. Les tests d'intrusion vont encore plus loin en tentant d'exploiter concrètement les vulnérabilités afin de valider les risques réels. La gestion des vulnérabilités est le programme continu qui régit l'ensemble de ces activités au sein de l'organisation.

Comment fonctionne l'analyse des vulnérabilités

Le processus d'analyse des vulnérabilités se déroule en sept étapes successives. Chacune s'appuie sur la précédente, et le cycle se répète en continu à mesure que les environnements évoluent.

1. Recenser les ressources — identifier tous les systèmes, services et terminaux concernés
2. Répertorier les cibles — identifier les ports ouverts, les services en cours d'exécution et les versions des logiciels
3. Détecter les vulnérabilités — comparer les résultats avec les bases de données CVE et les avis des éditeurs
4. Valider les résultats — mettre en corrélation les résultats et éliminer les faux positifs
5. Évaluer et hiérarchiser — attribuer un niveau de gravité à l'aide des systèmes CVSS et EPSS, en tenant compte du contexte opérationnel
6. Générer des rapports — produire des conclusions exploitables accompagnées de recommandations de mesures correctives
7. Vérifier la correction — relancer l'analyse pour s'assurer que les vulnérabilités ont été corrigées

Le processus d'analyse des vulnérabilités se déroule en sept étapes successives, suivies d'une nouvelle analyse à des fins de vérification.

Le scanner envoie des requêtes aux systèmes cibles, recueille les réponses concernant les ports ouverts et les versions logicielles, puis compare ces empreintes à des signatures de vulnérabilités connues. L'analyse des vulnérabilités est-elle automatisée ? Oui — le processus de détection proprement dit est automatisé, mais la validation, la hiérarchisation et la correction nécessitent un jugement humain et la prise en compte du contexte organisationnel.

Que détecte un scan de vulnérabilité ? Les scanners identifient les correctifs manquants, les services mal configurés, les identifiants par défaut, les logiciels obsolètes, les protocoles non sécurisés et les failles connues des applications. Ils ne peuvent toutefois pas détecter les vulnérabilités pour lesquelles il n'existe aucune signature — une limitation critique qui sera abordée plus loin dans ce guide.

CVSS v4.0 et hiérarchisation des priorités en fonction des risques

Pendant des années, les entreprises se sont appuyées exclusivement sur le système commun de notation des vulnérabilités (CVSS) pour hiérarchiser les mesures correctives. Les vulnérabilités classées comme critiques (note comprise entre 9,0 et 10,0) étaient traitées en priorité. Cette approche s'avère de plus en plus insuffisante.

Le CVSS v4.0, publié en janvier 2026 avec un nouveau guide de mise en œuvre destiné aux utilisateurs, intègre des indicateurs relatifs à l'environnement et aux menaces qui offrent un meilleur contexte. Mais le CVSS à lui seul ne répond toujours pas à la question la plus importante : « Cette vulnérabilité sera-t-elle réellement exploitée dans mon environnement ? »

C'est là qu'intervient l'évaluation complémentaire. Le système d'évaluation de la prédiction d'exploitation (EPSS) estime la probabilité qu'une vulnérabilité soit exploitée en conditions réelles dans les 30 jours. L'analyse d'accessibilité détermine si un attaquant peut réellement atteindre le composant vulnérable via le réseau. Des analyses du secteur indiquent que 84 % des violations de sécurité survenues en 2025 ont exploité des vulnérabilités « accessibles » — et non nécessairement celles présentant les scores CVSS les plus élevés.

La réalité met en évidence l'urgence de la situation. Selon le rapport DBIR 2025 de Verizon, seuls 54 % des appareils vulnérables ont été entièrement corrigés au cours de l'année, le délai médian pour l'application des correctifs s'élevant à 32 jours. Une hiérarchisation des priorités fondée sur les risques permet de concentrer les ressources limitées en matière de correction sur les failles que les pirates sont le plus susceptibles d'exploiter.

Comment les scanners de vulnérabilité utilisent les bases de données CVE

Les scanners recoupent leurs résultats avec trois sources de données principales. Le NVD sert de base de données de référence principale, en associant les identifiants CVE aux scores CVSS et aux produits concernés. Le catalogue KEV de la CISA — qui s'est enrichi de 20 % en 2025 pour atteindre 1 484 entrées — signale les vulnérabilités dont l'exploitation active dans la nature a été confirmée. Les flux d'avis spécifiques aux fournisseurs apportent des détails au niveau des produits que les bases de données génériques omettent parfois.

Les scanners modernes exploitent ces trois sources pour établir une analyse multicouche des risques. Lorsqu'un scanner identifie une version logicielle sur un système cible, il la compare aux entrées du NVD, signale toute correspondance dans le catalogue KEV pour qu'elle fasse l'objet d'une attention immédiate, et consulte les avis des éditeurs pour trouver des correctifs ou des solutions de contournement.

Types d'analyse de vulnérabilité

Les organisations ont besoin d'approches de scan différentes selon l'environnement, le niveau d'accès et la cible. Six types principaux couvrent l'ensemble du spectre.

Six types d'analyse de vulnérabilités et leurs cas d'utilisation appropriés.

Le choix entre une analyse avec ou sans identifiants est l'une des décisions les plus déterminantes dans un programme d'analyse. Les analyses avec identifiants détectent nettement plus de vulnérabilités, car elles permettent d'accéder aux composants internes du système : logiciels installés, paramètres du registre, droits d'accès aux fichiers et niveaux de correctifs. Les analyses sans identifiants offrent une vision externe, similaire à celle d'un attaquant, ce qui est utile pour évaluer la sécurité du périmètre, mais ne permet pas de détecter les failles internes.

Les analyses internes et externes ciblent des modèles de menaces différents. Les analyses internes évaluent le réseau depuis l'intérieur, en identifiant les possibilités de déplacement latéral et les erreurs de configuration. Les analyses externes évaluent les ressources exposées à Internet, à la manière d'un attaquant extérieur. La plupart des cadres de sécurité exigent les deux.

Cloud ont contribué à 43 % de l'ensemble des violations de données en 2025, tandis que les appareils périphériques ont représenté 22 % des incidents d'exploitation — soit une multiplication par huit par rapport à l'année précédente, selon le rapport DBIR 2025 de Verizon. Ces chiffres expliquent pourquoi l'analyse cloud et sans agent est devenue indispensable.

Analyse avec agent vs analyse sans agent

Les scanners basés sur des agents installent un logiciel léger sur chaque hôte, offrant ainsi une visibilité plus approfondie et une surveillance en temps réel. Ils excellent dans l'évaluation continue, mais nécessitent un déploiement, des mises à jour et une maintenance sur chaque système.

Les scanners sans agent utilisent des API et des techniques réseau pour analyser les systèmes sans rien installer. Ils offrent une couverture complète sans impact sur les performances et sont indispensables pour les charges de travail cloud éphémères, où les conteneurs et les fonctions sans serveur peuvent n'exister que quelques minutes.

Le consensus du secteur penche en faveur d'une approche hybride. Les environnements traditionnels sur site tirent parti de la profondeur d'analyse offerte par les agents. Les environnements Cloud privilégient de plus en plus l'analyse sans agent, en raison de sa capacité à couvrir les charges de travail éphémères et à assurer la détection et la prévention des intrusions au sein d'une infrastructure dynamique.

L'analyse des vulnérabilités dans la pratique

Le double rôle de l'analyse des vulnérabilités dans le cadre du modèle MITRE ATT&CK

L'analyse des vulnérabilités occupe une place à part au sein du MITRE ATT&CK : il apparaît des deux côtés du champ de bataille.

Du côté de l'adversaire, T1595.002 (Analyse active : analyse des vulnérabilités) est un reconnaissance technique sous 0043. Les pirates utilisent les mêmes outils d'analyse que les défenseurs pour repérer les failles exploitables dans les environnements ciblés. La technique associée T1046 (Analyse des services réseau) sous la rubrique « Découverte » (0007) décrit comment les attaquants recensent les services après avoir obtenu un accès initial.

En défense, M1016 (Analyse des vulnérabilités) est une mesure d'atténuation officielle qui traite des techniques telles que T1190 (Exploitation d'une application accessible au public), T1210 (Exploitation de services à distance), et T1195 (Supply Chain ). Une analyse proactive réduit la surface d'attaque que les pirates peuvent exploiter.

Ce double rôle implique que les responsables de la sécurité doivent à la fois effectuer leurs propres analyses et surveiller les activités de balayage menées par des adversaires sur leurs réseaux — balayages de ports inhabituels, tests de version ou schémas d'énumération indiquant qu'un attaquant est en train de cartographier l'environnement.

À quelle fréquence faut-il effectuer une analyse ?

L'écart entre les exigences minimales en matière de conformité et les meilleures pratiques en matière de sécurité est dangereusement grand.

• Exigences minimales de la norme PCI DSS — analyses internes et externes trimestrielles
• Contrôle CIS 7 recommandation — minimum hebdomadaire pour les ressources exposées à Internet
• Bonnes pratiques en matière de sécurité — de manière continue ou au moins une fois par semaine, compte tenu du délai médian de cinq jours avant l'exploitation

Une matrice de fréquence fondée sur les risques aide les organisations à répartir efficacement leurs ressources de scan.

Les analyses trimestrielles créent des zones d'ombre de 45 à 90 jours. Alors que le délai médian avant exploitation est de cinq jours, un rythme trimestriel signifie qu'une organisation peut rester exposée pendant des semaines avant même que la prochaine analyse ne soit effectuée.

Études de cas concrets

MOVEit Transfer (CVE-2023-34362). Une faille zero-day liée àune injection SQL dans l'application de transfert de fichiers MOVEit a été exploitée avant même d'être rendue publique, touchant plus de 3 000 organisations aux États-Unis et plus de 8 000 dans le monde. La leçon à en tirer : les applications exposées à Internet nécessitent une surveillance continue, et même dans ce cas, les failles « zero-day » exigent des méthodes de détection complémentaires.

Log4Shell (CVE-2021-44228). Lorsque la vulnérabilité Log4j a été découverte, des outils d'analyse ont été déployés à grande échelle. Une étude portant sur 28 projets et 140 analyses a révélé que ces outils atteignaient une précision de 91,4 % — un résultat impressionnant, mais insuffisant. Cette lacune provenait des dépendances transitives que les outils d'analyse ne pouvaient pas détecter. L'avis de la CISA a insisté sur la nécessité d'utiliser plusieurs méthodes d'analyse pour assurer une couverture complète.

Trivy Attaque de la chaîne d'approvisionnement (mars 2026). Un scanner de vulnérabilités open source a lui-même été compromis à la suite d'une attaque de la chaîne d'approvisionnement en plusieurs phases. La leçon à en tirer : les organisations doivent vérifier l'intégrité de leurs outils d'analyse, et pas seulement les résultats de leurs analyses.

React2Shell (CVE-2025-55182). Une vulnérabilité notée CVSS 10.0 touchant plus de 592 000 domaines, dont plus de 172 000 se sont avérés exploitables et plus de 30 000 avaient déjà été compromis par une porte dérobée au moment de la découverte. La fenêtre d'exploitation s'est réduite à quelques heures, ce qui souligne l'importance cruciale d'un balayage continu associé à des alertes automatisées.

Détecter et prévenir efficacement les vulnérabilités

La mise en place d'un programme de scan efficace ne se limite pas au simple choix des bons outils. Ces bonnes pratiques permettent de combler les lacunes les plus courantes.

• Effectuez des analyses en continu ou au moins une fois par semaine pour les ressources exposées à Internet, conformément aux recommandations de la mesure de contrôle CIS n° 7
• Privilégiez une approche fondée sur les risques qui intègre le contexte d'exploitabilité (EPSS), l'analyse de l'accessibilité et les renseignements sur les menaces — et ne vous fiez pas uniquement aux scores CVSS
• Intégrer l'analyse dans les pipelines CI/CD pour mettre en place une approche « shift-left » de la sécurité qui détecte les vulnérabilités avant le déploiement en production
• Tenez à jour un inventaire complet des actifs, qui servira de base — on ne peut pas analyser ce dont on ignore l'existence (NIST SP 800-53 RA-5)
• Utilisez plusieurs outils d'analyse pour une meilleure couverture, car aucun scanner ne détecte à lui seul tout ce qui existe
• Combiner l'analyse avec endpoint et la réponseendpoint pour combler le fossé entre la découverte des vulnérabilités et leur exploitation active

Le rapport DBIR 2025 de Verizon a révélé que seuls 54 % des appareils vulnérables avaient été entièrement corrigés au cours de l'année, le délai médian de correction s'élevant à 32 jours. Les appareils en périphérie représentaient 22 % des incidents d'exploitation — soit une multiplication par huit par rapport à l'année précédente —, ce qui souligne la nécessité d'étendre les analyses au-delà endpoint traditionnels de serveurs et endpoint .

Les limites de la numérisation et ce que les scanners ne peuvent pas détecter

Une évaluation honnête des angles morts du scanner permet d'éviter une confiance excessive qui pourrait s'avérer dangereuse.

• Zero-day ». Les scanners recherchent des correspondances avec des signatures connues. S'il n'existe pas de CVE, aucun scanner ne la détectera. C'est là qu'interviennent zero-day par l'analyse comportementale devient cruciale.
• Défauts de logique métier. Les erreurs de logique propres à l'application nécessitent une analyse humaine et ne peuvent pas être détectées par la comparaison de signatures.
• Les dépendances transitives. Comme l'a montré Log4Shell, les dépendances imbriquées dans les chaînes d'approvisionnement logicielles peuvent dissimuler des vulnérabilités que les scanners ne détectent pas.
• Vulnérabilités liées au contexte. Sans accès avec identifiants, les scanners ne peuvent pas évaluer les failles spécifiques à la configuration qui dépendent de la manière dont les logiciels sont déployés.
• Exploitation active. Les scanners identifient les vulnérabilités. Ils ne permettent pas de déterminer si un pirate informatique est déjà en train de les exploiter. Pour cela, il faut disposer de capacités de détection des menaces.

Gestion des faux positifs

Les faux positifs — ces résultats d'analyse qui signalent à tort une vulnérabilité qui n'existe pas réellement — sapent la confiance dans les programmes d'analyse et font perdre du temps aux analystes.

Parmi les causes courantes, on peut citer les signatures obsolètes, les divergences au niveau de la chaîne de version (lorsqu'un correctif a été rétroporté sans modification du numéro de version) et les différences d'environnement entre les conditions de test du scanner et la configuration réelle du système.

Les stratégies de réduction comprennent la réalisation d'analyses avec authentification pour une précision accrue, la mise à jour régulière des signatures des scanners, la validation des résultats par une analyse contextuelle et la mise en corrélation des résultats entre plusieurs outils. Les analyses avec authentification sont particulièrement efficaces, car elles permettent de vérifier les niveaux de correctifs réels plutôt que de se fier à la détection externe des versions.

Analyse des vulnérabilités et conformité

Les principaux cadres réglementaires imposent la réalisation de scans de vulnérabilité à des fréquences spécifiques. Ce tableau de mise en correspondance des exigences de conformité offre un aperçu rapide.

Exigences du cadre de conformité relatives à l'analyse des vulnérabilités.

Les organisations de l'UE sont soumises à des exigences supplémentaires dans le cadre de la directive NIS 2, dont 70 à 80 % des mesures de contrôle correspondent à celles de la norme ISO 27001 et qui prévoit des sanctions pouvant aller jusqu'à 10 millions d'euros en cas de non-conformité. La norme PCI DSS v4.0 s'applique à l'échelle mondiale à toute organisation traitant des données de cartes de paiement. Les organisations soumises à plusieurs référentiels ont tout intérêt à s'aligner sur les exigences les plus strictes — généralement la fréquence hebdomadaire à mensuelle prévue par la mesure de contrôle CIS 7 — afin de satisfaire simultanément à l'ensemble des référentiels.

Approches modernes de l'analyse des vulnérabilités

Le paysage de l'analyse des vulnérabilités évolue rapidement. Trois changements caractérisent l'approche moderne.

D'une approche ponctuelle à une approche continue. L'analyse continue des vulnérabilités remplace les cycles trimestriels ou mensuels par une surveillance permanente. Compte tenu du délai médian de cinq jours avant l'exploitation d'une faille, toute lacune dans la couverture de l'analyse constitue une opportunité pour les attaquants. L'analyse continue s'intègre aux cadres de gestion continue de l'exposition aux menaces (CTEM), où elle constitue l'un des éléments d'un programme plus large d'évaluation de la surface d'attaque et de réduction des risques.

De la priorisation basée uniquement sur le CVSS à la priorisation multifactorielle. Le CVSS v4.0 améliore la précision de la notation, mais les principaux programmes intègrent désormais l'EPSS, l'analyse de l'accessibilité et les flux de renseignements sur les menaces afin de se concentrer sur les vulnérabilités qui sont à la fois exploitables et accessibles dans leur environnement spécifique.

Des analyses périodiques à l'analyse de l'infrastructure en tant que code. Les environnements Cloud exigent de nouvelles approches : analyse basée sur les API, analyse des images de conteneurs et révision de l'infrastructure en tant que code permettant de détecter les erreurs de configuration avant le déploiement.

Comment Vectra AI l'analyse des vulnérabilités

La philosophie Vectra AI repose sur un principe simple : partir du principe que le système a été compromis. Lorsque 28,96 % des vulnérabilités exploitées sont utilisées à des fins malveillantes le jour même de la publication du CVE ou avant, même le meilleur programme d’analyse présente des lacunes. L’analyse des vulnérabilités identifie les failles. La détection des menaces basée sur l’IA identifie ce qui se passe lorsque ces failles sont exploitées : le déplacement latéral, l’escalade des privilèges et la préparation des données qui suivent l’accès initial. Attack Signal Intelligence l'analyse des vulnérabilités. Elle détecte ce que l'analyse ne peut pas détecter : zero-day , les attaques basées sur l'identité et les comportements post-compromission qui ne figurent dans aucune base de données de signatures. Ensemble, l'analyse des vulnérabilités et la détection et réponse aux incidents constituent une posture défensive complète : identifier les failles avant leur exploitation et détecter le comportement des attaquants lorsque l'exploitation aboutit.

Tendances futures et considérations émergentes

Le domaine de l'analyse des vulnérabilités va connaître une évolution majeure au cours des 12 à 24 prochains mois, sous l'effet de trois facteurs qui se conjuguent.

Les attaques se multiplient à un rythme effréné. La réduction du délai d'exploitation, qui passe de plusieurs semaines à quelques jours — voire, de plus en plus souvent, à quelques heures —, poussera les entreprises à se doter de capacités d'analyse en temps réel intégrées à des systèmes de réponse automatisés. Le graphique de React2Shell, qui montre que plus de 30 000 domaines avaient déjà été compromis avant même que la plupart des entreprises n'aient terminé leur première analyse, donne un aperçu de ce que l'avenir nous réserve.

L'IA est en train de transformer tant l'attaque que la défense. Les pirates utilisent l'IA pour identifier et exploiter plus rapidement les vulnérabilités. Les outils de scan défensifs intègrent désormais l'apprentissage automatique afin d'améliorer la précision de la détection, de réduire les faux positifs et de prédire quelles vulnérabilités sont les plus susceptibles d'être exploitées prochainement. L'adoption des systèmes EPSS continuera de progresser à mesure que les entreprises dépasseront le stade d'une hiérarchisation fondée uniquement sur le CVSS.

La pression réglementaire s'intensifie. La mise en œuvre de la directive NIS 2 dans toute l'Union européenne, les exigences élargies de la norme PCI DSS v4.0 et les nouveaux cadres réglementaires concernant les infrastructures critiques inciteront les organisations à mettre en place des programmes d'analyse plus fréquents et plus complets. Les organisations qui ont mis en place des programmes se limitant au strict minimum en matière de conformité devront passer à une surveillance continue.

Les outils d'analyse deviennent eux-mêmes des cibles. L'attaque contre la chaîne d'approvisionnement de Trivy en 2026 a démontré que les scanners de vulnérabilité constituent des cibles de choix pour les pirates. Il faut s'attendre à une surveillance accrue en matière de vérification de l'intégrité des scanners, de mises à jour signées et de sécurité de la chaîne d'approvisionnement pour les outils de sécurité.

Les organisations qui se préparent à ces changements devraient investir dans trois domaines : une infrastructure d'analyse continue qui comble les lacunes entre les cycles d'analyse, une hiérarchisation multifactorielle combinant les scores CVSS, les scores EPSS, l'accessibilité et les renseignements sur les menaces, ainsi que des capacités de détection comportementale permettant de repérer les tentatives d'exploitation lorsque l'analyse passe inévitablement à côté de quelque chose.

Conclusion

L'analyse des vulnérabilités n'est plus une option : il s'agit d'une pratique de sécurité fondamentale que toute organisation se doit de mettre en œuvre efficacement. Alors que l'exploitation des failles est à l'origine de 20 % des violations de données, que le délai d'exploitation est tombé à cinq jours et que 50 000 nouvelles vulnérabilités (CVE) sont divulguées chaque année, le coût lié au fait de négliger l'analyse des vulnérabilités augmente chaque trimestre.

Pour aller de l'avant, il faut aller au-delà des exigences minimales de conformité. Mettez en place un programme fondé sur les risques qui effectue des analyses en continu, établit des priorités en s'appuyant sur le CVSS ainsi que sur l'EPSS et l'analyse de l'accessibilité, et couvre l'ensemble de l'environnement, y compris cloud , les conteneurs et les périphériques en périphérie. Combinez plusieurs méthodes d'analyse pour une couverture approfondie, et intégrez une détection comportementale afin de repérer ce que les scanners ne peuvent pas détecter.

Commencez par dresser un inventaire précis de vos actifs, mettez en place une analyse continue de vos systèmes les plus critiques, puis poursuivez sur cette lancée. Pour les organisations prêtes à combler le fossé entre la découverte des vulnérabilités et la détection active des menaces, découvrez comment Vectra AIAttack Signal Intelligence complète les programmes d'analyse en détectant les comportements des attaquants qu'aucune base de données de vulnérabilités ne peut capturer.