Analyses cybersécurité, actualités threat intelligence et bonnes pratiques de gestion des vulnérabilités par l'équipe SYRN.
Depuis le 11 septembre 2026, les fabricants doivent signaler en 24 heures toute vulnérabilité activement exploitée via la plateforme de l'ENISA. Ce que cette obligation change, et ne change pas, pour la priorisation de vos correctifs.
On a pris les 598 CVE que les rapports de threat intelligence attribuent à un acteur ou un outil nommé, et on a regardé leur score CVSS. Près de six sur dix ne sont pas critiques, et cette part passe de 0 % à 100 % selon le groupe. Au-delà de 9, le CVSS décrit moins une gravité qu'une forme d'attaque : la RCE non authentifiée.
SYRN est-il un scanner de vulnérabilités ? Non. Un scan est une photo instantanée qui vous rend 200 CVE critiques par cycle, sans dire lesquelles sont réellement exploitées. Voici comment scanner et SYRN se complètent au sein d'une démarche CTEM.
Heartbleed, Log4Shell, Citrix Bleed : on se dit qu'une faille qui a un nom doit être plus grave. Sauf qu'en croisant 994 vulnérabilités nommées avec 361 589 CVE, c'est l'inverse qui ressort. Un nom ne dit presque rien de la sévérité. Il dit que la faille va être exploitée.
Nous avons analysé 355 000 CVE et tout le catalogue KEV de la CISA. Le Patch Tuesday fait illusion : le vrai pic de divulgation, c'est le mercredi. Le guide (au second degré) pour savoir quand ne pas prendre ses vacances en gestion de vulnérabilités.
Près de 50 000 CVE en 2025, 70 000 attendues en 2026, mais moins de 1% sont réellement exploitées. Pourquoi le CVSS et l'EPSS ne suffisent plus pour prioriser vos patchs.
Lancement du blog SYRN : votre source d'informations sur la cybersécurité, les mises à jour de threat intelligence et les bonnes pratiques de gestion des vulnérabilités.
