Méthodologie du BNTIC CyberScore
Le BNTIC CyberScore est un indice interne, propre à BNTIC CyberAlert, destiné à aider à prioriser les vulnérabilités. Ce n'est pas un standard officiel et il ne remplace ni le CVSS, ni l'EPSS, ni le catalogue CISA KEV, qui sont toujours affichés séparément.
Facteurs pris en compte
| Facteur | Source | Poids |
|---|---|---|
| Gravité technique (CVSS) | NVD | 30 % |
| Exploitation active connue (KEV) | CISA | 30 % |
| Probabilité d'exploitation (EPSS) | FIRST | 20 % |
| Correspondance avec la version | NVD / OSV / GitHub / Wordfence | 5 % |
| Récence de la publication | NVD | 15 % |
Classes de priorité
- 0–29 : Faible
- 30–49 : Modéré
- 50–69 : Important
- 70–84 : Critique
- 85–100 : Urgent
Distinction CVSS / EPSS
Le CVSS mesure la gravité technique intrinsèque d'une vulnérabilité (0 à 10). L'EPSS estime la probabilité qu'elle soit exploitée dans les 30 jours (0 à 100 %). Les deux sont complémentaires et ne doivent jamais être confondus.
Les sources, et ce que nous en tirons
| Source | Ce qu'elle apporte à une fiche |
|---|---|
| NVD (NIST) | Notes CVSS 3.1 et 4.0, type de faiblesse (CWE), produits et plages de versions vulnérables (CPE), références étiquetées (« Patch », « Vendor Advisory », « Mitigation », « Exploit »), statut de l'analyse. |
| CVE.org | L'enregistrement officiel publié par l'organisme qui a attribué l'identifiant : versions déclarées touchées et corrigées, étiquettes de ses propres références, et compléments de la CISA (décision SSVC, note CVSS) quand elle en publie. |
| CISA KEV | Exploitation constatée, action requise, échéance, usage par des rançongiciels, liens fournis par la CISA. |
| FIRST EPSS | Probabilité d'exploitation dans les 30 jours et centile, recalculés chaque jour. |
| OSV et GitHub Advisory | Paquets open source concernés et versions corrigées exactes. |
| CIRCL CVE Search | Source de repli quand NVD ne répond pas, au même format que CVE.org. |
| OWASP Top 10:2025 | Catégorie de risque web de chaque faille, par la correspondance officielle publiée par l'OWASP entre ses dix catégories et les CWE. Une faille sans CWE précise n'est rattachée à aucune catégorie. Voir les dix catégories expliquées. |
| Wordfence Intelligence | Extensions et thèmes WordPress, que ni OSV ni GitHub ne couvrent : versions touchées et version corrigée, extension par extension. Les mentions de droits que Wordfence joint à chaque fiche sont reproduites avec elle. Voir les technologies web suivies. |
Comment les liens de correction sont choisis
Chaque référence est classée selon l'étiquette que lui donne la source (NVD ou l'organisme qui a publié la faille) : correctif, avis de l'éditeur, mesure de contournement, avis d'un tiers, code d'exploitation, analyse. Une référence sans étiquette reste dans « Autres références » : nous ne devinons pas sa nature à partir de son adresse. Les codes d'exploitation ne sont jamais rendus cliquables : leur existence suffit à justifier l'urgence.
Prudence
Lorsqu'une information n'est pas disponible dans les sources, CyberAlert l'indique explicitement (« Non disponible », « Correctif non identifié dans les sources consultées », « Version exacte non déterminée ») plutôt que de l'inventer.
Statut de BNTIC CyberAlert
Note importante : BNTIC News n'est pas une structure officielle de cybersécurité et ne délivre aucune certification ni avis réglementaire. CyberAlert agrège et vulgarise des données issues de bases publiques (NVD, CVE.org, CISA KEV, FIRST EPSS, OSV, GitHub Advisory, CIRCL). Pour toute décision de sécurité, tout conseil ou toute assistance officielle, référez-vous aux autorités habilitées, notamment l'ANSSI du Burkina Faso (Agence Nationale de Sécurité des Systèmes d'Information).
Les informations sont agrégées à partir de bases de vulnérabilités et d'avis de sécurité externes. Vérifiez toujours les recommandations de l'éditeur avant toute intervention sur un système de production.