Darkhotel n'a exploité aucune vulnérabilité critique alors que d'autres groupes d'attaquants n'utilisent que ça.
La vulnérabilité CVE-2023-20867 affectant les VMware Tools a un score CVSS de 3,9/10. C'est la note qu'on donne à une faille dont on estime qu'elle ne mérite pas qu'on se lève la nuit. Les conditions d'exploitation expliquent pourquoi : il faut déjà être sur la machine, avec des privilèges élevés et l'attaque est difficile.
Et pourtant, c'est cette faille qu'a utilisée le groupe d'espionnage UNC3886, tel que documenté par Mandiant, puis le cluster Fire Ant analysé par Sygnia deux ans plus tard. La CISA l'a mise à son catalogue des vulnérabilités exploitées (KEV). Elle permet, depuis un hyperviseur ESXi compromis, d'exécuter des commandes dans toutes les machines virtuelles invitées sans aucune authentification et sans laisser de trace côté invité. Pas mal !
Le score CVSS n'a pas tort. Il répond simplement à une autre question que celle qu'on lui pose.
Ce qu'on a regardé
Nous avons ingéré des rapports de threat intelligence (recherche éditeur, avis gouvernementaux, retours d'incident) publiés entre juin 2015 et début septembre 2026, dont 94 % depuis 2022, et avons extrait une relation précise : tel acteur nommé a exploité telle CVE. À date, ça représente 598 CVE reliées à 461 entités nommées : 277 acteurs et 184 outils, dont 93 résolus vers le référentiel MITRE ATT&CK.
C'est ce corpus qu'on a croisé avec les scores CVSS. Non pas pour savoir si le CVSS est « bon », mais pour répondre à une question simple : quand un groupe d'attaquants choisit une faille, choisit-il toujours une faille critique ?
Le score CVSS retenu est celui que SYRN affiche, quelle que soit son origine1. 595 des 598 CVE en portent un.
Oui, les failles attribuées sont plus critiques que la moyenne
Commençons par ce qui donne raison au CVSS (sans grosse surprise). Les CVE utilisées par des groupes nommés sont nettement plus critiques que les autres :
| CVE attribuées à un groupe | Toutes les CVE | |
|---|---|---|
| Critique (CVSS ≥ 9) | 42,9 % | 12,5 % |
| Élevée (7 à 9) | 44,2 % | 36,4 % |
| Moyenne (4 à 7) | 12,6 % | 46,9 % |
| Faible (< 4) | 0,3 % | 4,2 % |
| Échantillon | 595 | 366 628 |
Chiffres arrêtés au 6 septembre 2026.
Une faille exploitée par un groupe identifié a 3,4 fois plus de chances d'être classée critique qu'une CVE prise au hasard. Les attaquants ne sont pas fous non plus. Autant aller au plus facilement exploitable 😌.
Mais la moitié ne le sont pas
Retournez le tableau. 57,1 % des CVE attribuées à un groupe d'attaquants nommé ne sont pas classées critiques au sens CVSS (340 sur 595). Et 77 d'entre elles passent sous la barre des 7, c'est-à-dire sous le seuil à partir duquel la plupart des politiques de remédiation commencent à compter les jours ou alors ignorent totalement ces CVE.
Et ce n'est pas un héritage du passé : en se limitant aux CVE publiées en 2024 et 2025, 60,1 % des 148 CVE attribuées ne sont toujours pas critiques selon le CVSS.
Quelques-unes de ces failles « moyennes » :
| CVE | CVSS | Attribuée à |
|---|---|---|
CVE-2021-31207 (ProxyShell) |
6,6 | AvosLocker, BianLian, BlackByte, BlackCat, FIN7, Hive, APT40… 13 groupes |
CVE-2021-1879 (WebKit) |
6,1 | APT29 |
CVE-2024-20399 (Cisco NX-OS) |
6,0 | Velvet Ant |
CVE-2024-50302 (noyau Linux / Android) |
5,5 | Cellebrite |
CVE-2023-41991 (Apple) |
5,5 | Intellexa / Predator |
CVE-2023-24055 (KeePass) |
5,5 | ViperSoftX |
CVE-2023-20867 (VMware Tools) |
3,9 | UNC3886, Fire Ant |
13 groupes de ransomware et d'espionnage se sont partagé une faille notée 6,6.
Ça dépend entièrement du groupe
0 critique pour Darkhotel. 100 % pour les affiliés de Qilin.
C'est là que les chiffres deviennent intéressants. Si on calcule, pour chaque groupe, la part de ses CVE classées critiques, on n'obtient pas une valeur moyenne autour de 50 %. On obtient toute l'amplitude possible :
Aucune des 10 CVE de Purple Fox, des 8 de Darkhotel ou des 6 de Scarlet Mimic n'est critique selon le CVSS. APT28 est à 8 %, avec un CVSS médian de 7,8. UNC3886 tourne à 6,2 de moyenne. Ember Bear, le volet cyber de l'unité 29155 du GRU, se tient au milieu, à 67 %.
D'autres cherchent plus efficace. Les affiliés de Qilin sont à 100 %, PROPHET SPIDER à 89 %. Toutes leurs CVE, ou presque, sont notées 9 ou plus. Eux ils n'ont pas le temps :).
Deux groupes également capables de vous détruire une infrastructure occupent donc deux bandes de CVSS qui ne se recouvrent pas.
Pourquoi : le CVSS ≥ 9 décrit une forme d'attaque
L'explication n'est pas mystérieuse, elle est arithmétique. Voici le vecteur des CVE attribuées, selon leur bande :
| CVSS ≥ 9 | CVSS < 9 | |
|---|---|---|
Attaquable par le réseau (AV:N) |
252 / 255 | 199 / 340 |
Sans authentification (PR:N) |
243 / 255 | 189 / 340 |
| Sans interaction utilisateur | 251 / 255 | 216 / 340 |
99 % des CVE critiques attribuées sont attaquables à distance, et 95 % sans le moindre identifiant. Ce n'est pas une coïncidence : c'est la formule du CVSS. Pour atteindre 9,8, il faut cumuler AV:N/AC:L/PR:N/UI:N et un impact total. Une faille qui exige un pied dans le système est structurellement plafonnée sous les 9.
Autrement dit, « CVSS ≥ 9 » est presque un synonyme de « RCE non authentifiée exploitable en masse ». C'est exactement ce qu'il faut à qui scanne Internet, un affilié ransomware ou un botnet. Ceux-là n'ont aucune raison de s'intéresser à autre chose.
Mais un groupe qui entre par un phishing, un identifiant volé ou un malware dans la chaîne d'approvisionnement n'a pas ce problème : il est déjà dedans. Ce qu'il lui faut, c'est l'étape suivante telle que l'élévation de privilèges, l'évasion de sandbox ou encore le contournement d'authentification. Des choses que des failles d'un score CVSS moyen ou élevé peuvent permettre. Chez les CVE sous les 9, on retrouve d'ailleurs 126 failles à vecteur local et 115 qui exigent une interaction utilisateur.
Comment améliorer
Chez SYRN, notre score n'échappe pas au problème : 69 des 598 CVE attribuées ne sont pas classées critiques par SYRN. Aucune n'est au KEV, et cinq seulement portent un signal d'exploitation venu de nos autres sources, dont une télémétrie qui couvre des CVE remontant à 1999. Ce n'est donc pas un effet de calendrier : ces 69 CVE s'étalent de 2009 à 2026. Quand une faille exploitée n'est citée que dans un rapport, l'information peut souvent être perdue.
La piste n'est pas d'ajouter l'attribution au score comme un booléen, mais de la pondérer selon la qualité de sa source. D'où les deux niveaux attachés à chaque relation :
confirmed: la relation vient des entités publiques ou privées qui ont fait l'analyse, comme Mandiant, Unit 42, Talos, Kaspersky, ESET, Volexity, CrowdStrike, Citizen Lab, le DFIR Report ou un CERT (CISA, FBI IC3, CERT-FR).reported: tout le reste, dont la presse spécialisée, qui relaie très bien mais ne constate pas, comme The Hacker News, BleepingComputer, SecurityWeek ou The Record.
L'écart se mesure : 91,9 % des CVE portant au moins une relation confirmed sont considérées comme exploitées par SYRN, contre 77,8 % pour celles qui n'ont que du reported.
Ces 598 CVE attribuées sont consultables dans SYRN avec leur niveau de preuve, leur source et l'extrait d'origine.
Footnotes
-
Une CVE porte souvent plusieurs scores CVSS, celui du CNA (l'éditeur ou l'entité qui publie la faille) et celui du NIST, qui divergent parfois. SYRN retient le premier disponible dans l'ordre CNA, Vulnrichment (l'enrichissement de la CISA), puis NIST. ↩