Mille CVE. Lesquelles faut-il corriger aujourd’hui ?
Votre scanner affiche une avalanche de constats : Ubuntu en a déjà corrigé la moitié par rétroportage, tandis qu’une vulnérabilité KEV sur un service public passe inaperçue au milieu. La surveillance payante PatchFirst organise le travail selon les priorités P0–P3. La vérification gratuite fournit une note et met en évidence votre pile logicielle, sans détailler les constats.
Une vérification gratuite : une note, une pile logicielle mise en évidence et les angles morts généraux. La surveillance est payante. La facturation annuelle permet d’économiser 20% : un serveur coûte 28,80 $ par an au lieu de 36,00 $. 5 premiers serveurs : 3,00 $ chacun par mois; à partir du serveur 6 : 2,00 $; à partir du serveur 26 : 1,50 $.
Ce que nous vérifions
Actuellement : les paquets système, les versions exactes des dépendances et les produits reconnus. La couverture dépend des autorisations de l’agent et des données disponibles.
Disponible dès maintenant
Paquets système : Debian, Ubuntu, Alpine, la famille RHEL (Rocky Linux, AlmaLinux), openSUSE et SLES.
Python : poetry.lock, Pipfile.lock, uv.lock, requirements*.txt avec versions figées par == ; paquets installés dans les venv/site-packages découverts.
Versions des environnements d’exécution et des services reconnus dans le catalogue de produits.
Images de conteneurs identifiées par leur nom et leur étiquette ; leur contenu n’est pas inspecté et reste un angle mort. Les images inconnues et les étiquettes flottantes nécessitent une vérification manuelle.
Les dépendances directes et transitives sont incluses ; celles de développement sont signalées. La découverte est limitée par les autorisations, le temps et le nombre de fichiers et de paquets. Les versions imprécises et les limites atteintes apparaissent comme des angles morts.
À venir
Ruby : Gemfile.lock.
Go : go.sum et informations de compilation des binaires.
Rust : Cargo.lock.
Java : fichiers de verrouillage Maven/Gradle et manifestes jar.
Ces écosystèmes ne sont pas encore vérifiés.
Une ancienne version ne dit pas tout.
Un paquet bénéficie déjà d’un correctif de la distribution. Un autre provient d’un PPA et a échappé à la vérification. Ils nécessitent des règles de correspondance différentes.
Ne cherchez plus des correctifs déjà installés
Ubuntu peut rétroporter un correctif vers une branche ancienne sans changer la version du projet d’origine. PatchFirst vérifie les paquets des distributions dans OSV à partir du paquet source et de sa version, plutôt que de se fier uniquement aux plages de versions du projet.
Cela réduit les faux signaux liés aux rétroportages pour vous concentrer sur les mises à jour réellement nécessaires.
Gardez les paquets tiers dans le périmètre
PatchFirst détecte les marqueurs de dépôts tiers dans les chaînes de version, exclut ces paquets de la correspondance OSV de la distribution et les vérifie dans CVE.org comme des logiciels du projet d’origine.
Un cas réel rencontré pendant le développement de PatchFirst : une exécution de code à distance dans PHP 8.3.35 du PPA sury, manquée par OSV. Les seuls avis de la distribution ne suffisaient pas.
Pour les CVE récentes, PatchFirst signale aussi les cas où la distribution n’a pas encore publié d’entrée OSV pour le paquet.
La surveillance transforme les constats en plan d’action.
Risque = gravité (0–10 : priorité de la distribution, sinon CVSS) × exploitabilité (KEV ×2, code d’exploitation ×1,4…) × exposition (publique 1,0 ; potentiellement publique 0,8 ; interne 0,6 ; locale 0,45). Par exemple, CVSS 7 + KEV sur un service public = 7 × 2 × 1,0 = 14 → P0 : corriger aujourd’hui.
P0 et P1 passent en premier
P0 signifie un risque ≥14 ou une KEV sur un composant public. Le modèle vise une intervention sous un jour. P1 vient ensuite, avec un objectif d’une semaine. Tout P0 plafonne la note globale à 49.
P2 et P3 entrent dans le planning
P2 vise un délai d’un mois ; P3 couvre les autres constats. Le rapport conserve les détails : la priorité aide à ordonner le travail et l’ingénieur décide comment appliquer chaque correctif.
La surveillance dépasse la liste des paquets.
Installer une mise à jour ne suffit pas si l’ancien noyau tourne encore. Et une étiquette d’image flottante ne fournit pas de version fiable à vérifier.
Nouveau noyau installé. Redémarrage en attente ?
PatchFirst analyse le noyau en cours d’exécution. Si un noyau plus récent est installé, un constat distinct signale la nécessité d’un redémarrage.
Gardez les bases de données privées
Les bases de données accessibles publiquement, Redis et l’API Docker font l’objet de constats distincts. Les numéros de port restent sur le serveur du propriétaire. L’agent déduit l’exposition des adresses d’écoute et de la présence d’une IP publique, sans sondage externe.
Les angles morts restent visibles
Les images non reconnues et les étiquettes flottantes telles que latest ou 17 sont signalées comme des angles morts.
Les dépendances applicatives sont aussi couvertes.
PatchFirst vérifie composer.lock, npm/Yarn/pnpm et Python pip/poetry à partir des versions exactes, y compris les dépendances transitives et de développement. Les étiquettes des fichiers de verrouillage identifient les projets ; les limites de collecte apparaissent comme des angles morts. Ruby, Go, Rust et Java ne sont pas encore pris en charge.
Sans root. Examinez les données envoyées.
L’agent tient dans un seul fichier : un binaire autonome ou un zipapp Python. Pour la surveillance, l’installateur ajoute une tâche cron utilisateur exécutée toutes les 6 heures.
Examinez d’abord les données
Utilisez dry-run pour voir ce que l’agent enverrait. Pour une vérification gratuite, vous pouvez générer un JSON anonymisé, l’examiner et le coller vous-même dans la page de vérification.
Python est facultatif : le binaire intègre le chiffrement des noms. La variante Python nécessite python3-cryptography pour chiffrer les noms. Elle collecte l’inventaire technique sans accéder au contenu de vos bases de données.
Anonymisé avant l’envoi
Les hôtes deviennent des UUID ; les IP, un indicateur d’adresse publique. Les chemins et les noms privés deviennent des étiquettes HMAC. Si le chiffrement des noms est activé, le dictionnaire des noms est chiffré avec une clé distincte que le service ne reçoit jamais. Sinon, l’agent n’envoie aucun dictionnaire.
Les inventaires anonymisés et les rapports sont conservés dans PostgreSQL sous une forme lisible par le service. Les sauvegardes utilisent une clé de chiffrement du destinataire distincte. En savoir plus sur le traitement des données →
Vous pouvez laisser les noms vides : le tableau de bord affichera « Serveur 01 ». Vous pouvez aussi choisir un alias tel que web-1 : il est enregistré en clair. N’indiquez ni domaine, ni adresse IP, ni nom d’entreprise ou de client. Pour les protéger, activez le chiffrement des noms dans Compte : votre navigateur transférera les noms existants dans un dictionnaire chiffré et le service supprimera les copies en clair.
Limites
La priorité est une estimation du modèle, pas une probabilité de compromission. Les sources peuvent être erronées ou en retard.
Vérifiez les constats, les règles du pare-feu et l’accessibilité : l’agent ne réalise aucun sondage externe.
Un logiciel non identifié est un angle mort. PatchFirst ne remplace pas un audit ni un test d’intrusion.
Pendant l’analyse, PatchFirst voit les versions et les détails techniques. L’IP de connexion est utilisée uniquement en mémoire pour la protection contre les attaques par force brute et n’est pas conservée.
Les rapports sont dans votre tableau de bord, sans notifications externes. Le paiement s’organise manuellement via le contact indiqué dans le tableau de bord.
Commencez par un hôte
Repérez les composants à surveiller.
Une vérification ponctuelle est gratuite : exécutez une commande pour obtenir un lien de rapport ou envoyez un JSON anonymisé. Le rapport contient une note, les noms des composants et leurs versions installées mis en évidence selon leur gravité, ainsi que les angles morts généraux. Les vulnérabilités précises et les correctifs prioritaires font partie de la surveillance payante. La surveillance continue est payante. La facturation annuelle permet d’économiser 20% : un serveur coûte 28,80 $ par an au lieu de 36,00 $. 5 premiers serveurs : 3,00 $ chacun par mois; à partir du serveur 6 : 2,00 $; à partir du serveur 26 : 1,50 $.
