Comment Patcharo décide

Les sources, par ordre d’autorité

1. Avis des éditeurs et enregistrements CVE rédigés par l’éditeur : versions affectées et corrigées.
2. CISA Known Exploited Vulnerabilities : exploitation confirmée, échéances, usage par des rançongiciels.
3. NVD : scores CVSS et faiblesses (CWE).
4. FIRST EPSS : probabilité d’exploitation dans les 30 prochains jours.

La correspondance, étape par étape

1. 1La version renseignée est interprétée selon le schéma de l’éditeur (par exemple les hotfix PAN-OS ou les Jumbo Hotfix takes Check Point). Si elle ne peut pas l’être : Inconnu.
2. 2Si elle correspond à une version affectée exacte ou tombe dans une plage affectée : Affecté, avec la version corrigée.
3. 3Si la source déclare la branche affectée sans détail de correctif : À vérifier.
4. 4Si elle atteint ou dépasse le correctif sur une branche affectée : Corrigé.
5. 5Si la source a évalué la branche et que la version est hors de toute plage, ou si l’éditeur indique que les versions non listées ne sont pas affectées : Non affecté.
6. 6Tout autre cas : Inconnu. Une donnée manquante ne devient jamais un résultat favorable.

La priorité : pourquoi maintenant

Le score de priorité est la somme de raisons visibles : exploitation connue (KEV), probabilité d’exploitation (EPSS), sévérité, exposition Internet, environnement de production et criticité métier. Chaque point est affiché à côté de l’action.

Là où l’IA n’intervient pas

Aucun modèle de langage ne décide si un produit ou une version est affecté, et aucun résumé ne remplace la source. Les seules entrées sont des données structurées des éditeurs et publiques, versionnées et dotées d’empreintes.

Limites connues

La couverture se limite aux produits du catalogue. Les éditeurs qui ne publient que du texte (sans versions structurées) produisent À vérifier plutôt qu’un verdict. Confirmez toujours avec l’avis de l’éditeur avant un changement.