Il ne se passe pas un jour sans qu'une nouvelle faille de sécurité touche un logiciel ou un système d'exploitation. Selon un rapport publié par IBM au début de cette année, 7 247 nouvelles vulnérabilités ont été enregistrées en 2006, soit une moyenne de vingt par jour ! Une augmentation d'environ 40 % par rapport aux chiffres de 2005.

Mais toutes ces failles n'ont pas le même niveau de dangerosité. C'est pour tenter d'y voir plus clair que différents standards de classification ont été lancés ces dernières années notamment par le First, une association créée en 1990 qui regroupe des Cert (Computer Emergency Response Teams).

Mais le système d'évaluation des vulnérabilités, le Common Vulnerability Scoring System (CVSS), commence à dater. « La typologie des vulnérabilités a beaucoup évolué en deux ans. Nous avons constaté de plus en plus de vulnérabilités "de moyenne sévérité" mais qui sont couplées avec d'autres menaces », constate Laurent Heslault, directeur général adjoint de la sécurité chez Symantec. La communauté internationale de la sécurité a donc jugé nécessaire de revoir les méthodes de calcul et d'appréciation du CVSS.

Le 20 juin, le First a présenté la version 2. « Elle représente une amélioration significative par rapport à la version originale. Elle réduit les incohérences, apporte une graduation supplémentaire et reflète de façon plus précise la large variété de vulnérabilités », estime Gavin Reid, expert en sécurité au sein de Cisco et responsable de l'équipe d'une douzaine de chercheurs spécialisés dans le CVSS.

Même si ces différents standards sont reconnus au niveau international, leur impact doit être relativisé. « Comme certains avis de sécurité sont plutôt laconiques, il est très difficile pour un tiers (tel que le First) d'évaluer l'impact réel d'une faille. Il est peut-être préférable de se fier à Metasploit, une plate-forme de tests d'intrusion embarquant des fonctions d'automatisation d'exploitation de failles et de création d'exploits. Si mon système peut être compromis par un code d'exploitation qui y est publié, il faut patcher », estime Nicolas Ruff du Centre de recherche de la société EADS.