Scan de vulnérabilités mensuel : ce qu’il voit, ce qu’il rate

Le rapport mensuel de scan de vulnérabilités est propre : zéro critique, deux moyennes, un graphique vert. Vous le transmettez à la direction et passez à autre chose. La première page ne dit pas si le scanner est entré sur les serveurs ou s’il a seulement frappé à la porte, quels équipements il a sautés d’office et ce qui est arrivé sur la liste des attaquants depuis le jour où il a tourné.

Ce dernier point se compte. Sur les 365 derniers jours, le catalogue CISA des vulnérabilités à exploitation confirmée (KEV) a reçu 315 entrées, environ 26 tous les 30 jours, selon notre décompte sur le flux officiel du 4 novembre 2026. Toutes ne vous concernent pas. Mais entre deux scans mensuels, la liste des attaquants bouge, et votre rapport reste tel que vous l’avez reçu.

Pourquoi un rapport propre ne veut pas dire un réseau propre

Un scanner rapporte ce qu’il a réussi à vérifier. Ce qu’il n’a pas vérifié manque à la liste, et une liste courte ressemble à s’y méprendre à un réseau bien entretenu. Quatre façons concrètes dont cela arrive :

• Le scanner est resté dehors. Tenable, l’éditeur de Nessus, explique qu’un scan non authentifié voit le réseau comme un attaquant extérieur et ne donne pas l’image complète ; les vérifications locales exigent une authentification. Nessus a même un plugin dédié, le 21745, qui signale que l’évaluation des correctifs n’a pas tourné, par exemple parce que les identifiants n’ont pas permis de s’authentifier.
• Le scanner a sauté des équipements. Par défaut, Nessus marque les imprimantes et les multifonctions comme « Dead » et les saute, parce qu’elles réagissent mal au scan. Ce qui est sauté n’apparaît pas dans le rapport.
• Le scanner n’avait pas la vérification. Dans un benchmark de janvier 2024 réalisé par Pentest-Tools.com (éditeur concurrent, dont le propre scanner figurait dans le test), sur 128 environnements vulnérables détectables à distance, sans authentification et avec les réglages par défaut, Nessus a revendiqué la détection pour 67,19 % et en a effectivement identifié 22,66 %. Ce n’est pas un taux de détection en production et cela ne montre pas que Nessus serait faible. Cela montre qu’une base de signatures n’est pas une garantie.
• La liste contient du bruit. Red Hat corrige par backport sans changer le numéro de version, et les outils qui décident uniquement d’après ce numéro remontent des faux positifs. Le temps perdu sur ces alertes sort de la même équipe, celle qui devait corriger le reste.

Il y a aussi ce qu’un scanner ne cherche pas à voir : les autorisations, la logique applicative, les chaînes d’attaque. La différence entre scan, audit et pentest est expliquée dans un article à part.

La solution évidente, « on installe un scanner gratuit », se heurte vite à la licence. Nessus Essentials, c’est jusqu’à 5 IP, une licence de 30 jours, des plugins avec 30 jours de retard et un usage strictement non commercial, donc pas une option pour une entreprise (vous trouverez encore des pages tierces qui parlent de 16 IP ; c’est la page de Tenable qui compte). Nessus Professional coûte 4 790 $ par an en licence d’un an. OpenVAS dispose d’un flux Community gratuit, pour les logiciels et systèmes largement répandus, tandis que les équipements réseau comme Cisco ou Palo Alto figurent parmi ce qu’ajoute le flux Enterprise, payant. Si votre périmètre est sur cette liste, vérifiez d’abord ce que couvre la version gratuite.

Le scan de vulnérabilités est un instrument de mesure

La question habituelle est de savoir combien de critiques le scanner a trouvées. La question utile est de savoir comment la mesure a été réglée. Le crédit à accorder à la liste dépend de quatre réglages : à quelle fréquence vous mesurez, d’où vous regardez, avec quel accès vous entrez et ce que vous faites entre deux mesures. Changez la position ou l’accès et, sur le même réseau, vous obtenez une autre liste.

Un rapport propre vous dit ce que le scanner n’a pas trouvé. Sur votre réseau, il ne vous dit que ce que vous lui avez laissé voir.

À quelle fréquence : les référentiels ne donnent pas le même chiffre

Cherchez la réponse dans les référentiels et vous obtenez cinq réponses :

• Guide technique de l’ENISA v1.0, juin 2025 : une liste indicative suggère des scans hebdomadaires pour les nouvelles vulnérabilités, en précisant que la fréquence dépend de l’évaluation des risques, plus des scans après un incident ou un changement significatif. Le guide n’est pas contraignant.
• CIS Controls : mensuel ou plus fréquent sur les actifs exposés à l’extérieur (Safeguard 7.6, scanner lancé à intervalles de 30 jours au plus) et trimestriel ou plus fréquent en interne (Safeguard 7.5). Cela s’applique aux groupes IG2 et IG3, pas à IG1.
• PCI DSS v4.0.1 : en interne et en externe au moins une fois tous les trois mois, les scans externes via un ASV, selon les sources secondaires consultées.
• Règlement (UE) 2024/2690 : des scans lorsque c’est approprié, avec des preuves, à intervalles planifiés. Aucun chiffre. Il vise les entités numériques (DNS, cloud, centres de données, services gérés et d’autres), pas toutes les entités NIS2.
• ISO 27001:2022, A.8.8 : aucune fréquence fixe dans les sources secondaires consultées.

Ces chiffres ne s’excluent pas. Certains sont des seuils de conformité, d’autres des recommandations, et ils s’adressent à des publics différents. En Roumanie, l’arrêté n° 1 du 6 août 2026 de l’autorité nationale de cybersécurité, le DNSC, publié au Journal officiel n° 712 du 27 août, approuve les mesures de gestion des risques, avec les annexes au n° 712 bis. Nous n’avons pas pu lire l’annexe, nous n’affirmons donc rien sur ce qu’elle dit du scan : vérifiez-y le contrôle applicable à votre niveau. Les obligations envers le DNSC sont réunies dans un article à part. Si vous êtes établi dans un autre pays de l’UE, vérifiez les règles nationales équivalentes.

La conclusion pratique : il n’y a pas de chiffre à recopier. Vous choisissez une cadence, vous la justifiez par le risque et vous l’écrivez. Mensuel sur ce qui est exposé et au moins trimestriel en interne, c’est le seuil CIS, un bon repère pour argumenter. Nous n’avons pas trouvé de données montrant que scanner plus souvent conduit aussi à corriger plus vite : ne payez donc pas pour une fréquence que votre équipe ne peut pas absorber.

D’où il regarde : l’externe et l’interne mesurent autre chose

Le scan externe montre ce que voit n’importe qui sur internet, y compris ceux qui scannent automatiquement en continu. Le scan interne montre ce que trouve quelqu’un qui est déjà à l’intérieur. La différence se voit dans les données : dans le rapport Edgescan 2026, sur la couche réseau, 24,62 % des vulnérabilités des actifs non publics sont critiques ou élevées, contre environ 10 % sur les actifs publics. La population est celle des clients d’Edgescan et la sévérité suit le score propre de l’éditeur : ce n’est donc pas une photographie des PME. Notre lecture : qui ne scanne que le périmètre mesure la partie qui a la meilleure mine.

Dans le même rapport, les CVE dont l’identifiant date de 2020 ou avant représentent environ 44 % des occurrences sur les actifs publics et environ 38 % sur les actifs internes (les sommes sont les nôtres, à partir des tableaux du rapport ; l’identifiant n’est pas toujours l’année de publication). Notre lecture : une bonne part de ce que trouve un scan n’est pas apparue ce mois-ci.

Avec quel accès : ici, les référentiels vont dans le même sens

Sur la cadence, ils diffèrent ; sur l’accès, non. CIS compte à part les actifs couverts par un scan authentifié, le guide de l’ENISA le suggère là où c’est possible, et PCI DSS v4.0.1 l’exige pour le scan interne depuis le 31 mars 2025, selon les mêmes sources secondaires. Un scan authentifié signifie que le scanner entre sur le système avec un compte, souvent à privilèges élevés, et effectue des vérifications locales, au lieu de regarder seulement depuis le réseau. Combien il trouve en plus, nous l’ignorons : les chiffres qui circulent n’ont pas d’étude derrière eux, nous ne vous en donnons donc pas.

La question pratique est de savoir sur combien d’hôtes l’authentification a réussi. Un scan authentifié sur le papier, avec des identifiants rejetés sur une partie du parc, mesure moins que ce qu’annonce la couverture.

Ce qui couvre l’intervalle entre deux scans

Le volume brut dit peu de chose. De janvier à avril 2026, 20 293 CVE ont été publiées, environ 5 073 par mois (la moyenne est notre calcul), et FIRST en prévoit environ 66 000 pour l’année, en ajoutant en juin que la charge actionnable, mesurée par KEV et EPSS au-dessus de 10 %, reste stable. Notre décompte sur le flux CISA montre entre-temps 284 ajouts en 2026 jusqu’au 4 novembre, contre 245 sur tout 2025, dont 43 en septembre et 36 en octobre. Les périodes et les mesures diffèrent, et deux mois ne font pas une tendance : on ne peut donc pas en conclure que FIRST s’est trompé.

Pour votre intervalle, autre chose compte : 50 de ces 284 ont un identifiant de 2024 ou antérieur. La liste des exploitations confirmées accueille aussi de vieilles vulnérabilités, si bien que l’ordre du rapport du mois dernier peut vieillir sans que le scanner ait tourné. La vitesse n’aide pas non plus : M-Trends 2026 estime le délai moyen d’exploitation à -7 jours, autrement dit l’exploitation arrive en général avant le correctif, sur une population d’organisations ayant fait appel à Mandiant. Le même rapport place les exploits en premier vecteur initial, avec 32 % des intrusions ; le DBIR 2026 donne 31 %, sur une autre population.

Ne comptez pas non plus sur une notification. En 2025, le DNSC roumain a informé 2 020 institutions publiques et opérateurs de services essentiels de plus de 43 000 vulnérabilités exploitables. Une entreprise privée ordinaire ne figure pas sur cette liste : l’intervalle, c’est à vous de le couvrir.

Comment obtenir un scan de vulnérabilités fiable

1. 1Écrivez ce qui doit être scanné, puis comparez avec ce que l’outil a réellement scanné. Le guide de l’ENISA suggère exactement cela comme preuve : la configuration qui montre que le scanner couvre toute l’infrastructure concernée et dispose de définitions à jour.
2. 2Fixez la cadence par écrit, avec sa justification : externe au moins mensuel, interne au moins trimestriel, plus un scan après chaque changement significatif.
3. 3Utilisez un compte dédié pour le scan authentifié et, à chaque rapport, vérifiez sur combien d’hôtes il a réussi. Dans Nessus, le plugin 21745 est le point de départ.
4. 4Tenez une liste séparée de ce qui est exclu du scan, des imprimantes aux équipements OT, qui ont un traitement à part, et notez comment vous les vérifiez autrement. Un équipement sauté reste sur le réseau.
5. 5Comparez chaque semaine les nouvelles entrées du flux CISA KEV avec votre inventaire et suivez les canaux que le règlement 2024/2690 donne en exemple : CSIRT, autorités, fournisseurs.
6. 6Demandez les rapports quotidiens gratuits de Shadowserver pour votre espace réseau. Ils sont destinés à celui qui contrôle cet espace, avec vérification d’identité.
7. 7Conservez les preuves : le calendrier des scans, les résultats et ce que vous en avez fait. Le règlement 2024/2690 demande aux entités concernées des preuves des résultats, le guide de l’ENISA suggère en plus des journaux avec le calendrier et les suites données, et selon les résumés publiés de l’arrêté du DNSC, l’auto-évaluation est annuelle en Roumanie. Les journaux vous évitent alors de tout reconstituer.

Pour l’intervalle entre les scans, nous avons aussi un produit distinct, Sentinel, où la priorisation sur plusieurs critères relève du produit, pas du forfait de scan.

Ce qu’il faut demander à tout prestataire, nous compris

Le forfait Scan de Vulnérabilités Mensuel de notre liste de forfaits comprend un scan externe et interne mensuel avec Nessus/OpenVAS, un rapport CVSS priorisé, des recommandations concrètes de remédiation et un retest après correction sur demande. Le pentest est un service à part, dans cybersécurité. Les prix du catalogue, par mois :

• Micro, jusqu’à 10 hôtes : 340 € HT.
• Small, 10-50 hôtes : 720 € HT.
• Medium, 50-100 hôtes : 1 400 € HT.
• Large, 100+ hôtes : 2 600 € HT.

Le catalogue dit CVSS, alors disons clairement comment le lire : c’est le point de départ du classement, pas son point d’arrivée. Chez Edgescan, trois catégories font près de 60 % des constats critiques et élevés réseau et hôte (Diffie-Hellman DoS 24 %, OpenSSH 22 %, SWEET32 13,2 %), et environ 6,2 % des vulnérabilités découvertes sont liées à des campagnes de ransomware. Le délai moyen de remédiation chez les clients d’Edgescan, pour les critiques et élevées, est de 39 jours sur les équipements et le réseau, mais atteint 134,3 jours pour un EPSS supérieur à 0,7, et le rapport conclut que la priorisation suit encore CVSS plus que EPSS ou KEV. De plus, le NIST n’ajoute plus systématiquement son propre score quand il en existe déjà un, d’où nous déduisons que le score de votre rapport vient de plus en plus souvent de l’éditeur du produit. Comment classer la liste une fois que vous l’avez, nous l’avons écrit dans l’article sur les vulnérabilités non corrigées.

Avant de signer, avec nous ou avec un autre, demandez :

• Le scan interne est-il authentifié ? Sur combien d’hôtes a-t-il réussi dans le dernier rapport ?
• Qu’est-ce qui a été exclu du scan et où le vois-je dans le rapport ?
• Quel outil et quel flux tournent sur mes équipements de périmètre ?
• Le rapport donne-t-il seulement le CVSS ou ajoute-t-il KEV et EPSS ?
• Qui valide les faux positifs et dans quelles fenêtres tournent les scans ? Orange Business Roumanie, par exemple, mentionne une validation manuelle et des scans en fenêtres de maintenance : c’est un repère de marché pour la question.
• Le retest est-il inclus dans le prix ? Qu’est-ce qui compte comme hôte ?

Une partie de nos réponses ne figure pas dans la fiche du forfait, alors posez-nous ces questions tout aussi directement. Un prestataire qui esquive la question des hôtes authentifiés vous vend une liste, sans vous dire ce qu’elle a mesuré.

Conclusion

Un scan de vulnérabilités mensuel vaut son prix dans la mesure où vous savez ce qu’il a mesuré : à quelle cadence, depuis quelle position, avec quel accès et ce que vous avez fait entre deux passages. Sans ces quatre réponses, un rapport propre n’est qu’une liste courte. Si vous voulez regarder ensemble votre dernier rapport et voir ce qui est resté non mesuré, parlons-en 30 minutes.

Sources

• CISA — Known Exploited Vulnerabilities, flux officiel, version 2026.11.04, décompte propre (cisa.gov)
• CIS Controls Assessment Specification — Safeguards 7.5 et 7.6 (controls-assessment-specification.readthedocs.io)
• Règlement d’exécution (UE) 2024/2690, annexe, point 6.10.2, et ENISA — Technical implementation guidance v1.0, 26 juin 2025 (enisa.europa.eu) ; McCann FitzGerald, sur le caractère non contraignant du guide (mccannfitzgerald.com)
• SecurityMetrics et WithPCI — exigences de scan PCI DSS v4.0.1 (securitymetrics.com) ; ISMS.online — ISO 27001:2022 A.8.8 (isms.online)
• Arrêté DNSC n° 1/2026, Journal officiel roumain n° 712 du 27 août 2026 (lege5.ro, legis.medleg.ro) ; résumés publiés : Awarely Monitor, Business Generator, Optimizor
• DNSC — Rapport annuel 2025, p. 16
• Jerry Gamblin — CVE 2026 Half-Year Forecast Update, 5 mai 2026 (jgamblin.github.io) ; FIRST — Vulnerability Forecast Update, 15 juin 2026 (first.org)
• Google Cloud / Mandiant — M-Trends 2026, 23 mars 2026 (cloud.google.com) ; Edgescan — analyse du Verizon DBIR 2026 (edgescan.com)
• NIST — mise à jour des opérations NVD, 15 avril 2026 (nist.gov)
• Edgescan — Vulnerability Statistics Report 2026 (edgescan.com)
• Tenable — documentation de scan, plugins Nessus 21745 et 11933, Nessus Essentials et tarifs (tenable.com)
• Pentest-Tools.com — Network Vulnerability Scanner Benchmark, 2024 (pentest-tools.com) ; Red Hat — backporting (access.redhat.com) ; Greenbone — comparaison des flux (greenbone.net)
• Shadowserver — Get Reports (shadowserver.org) ; Orange Business Roumanie — SCUT Vulnerability Assessment (orange.ro)