Analyse pluriannuelle
Observatoire des menaces
Lecture pluriannuelle des vulnérabilités des apps et OS suivis par Scout (iOS, Android, macOS, Windows). On mesure d'abord la part des CVE réellement exploitées (KEV CISA), un signal robuste à l'effet de couverture du NVD, puis le contexte de volume et les vecteurs d'attaque.
En 2025, 2 543 vulnérabilités ont touché le périmètre suivi par Scout. 2,5 % ont été exploitées, soit 1,2 points de moins qu'en 2021 : le volume grossit pendant que l'exploitation se raréfie. 79 % de ce volume venait de l'OS, pas des apps.
- CVE publiées
- 2 543
- Part KEV
- 2,5 %
- Part OS du volume
- 79 %
publiées en 2025
-1,2 pts vs 2021
face aux apps, même année
Métrique-clé · part KEV
2,5 % des CVE publiées en 2025 ont été ajoutées au catalogue CISA KEV (exploitées en réel).
+0,3 pts vs 2024
La part KEV est privilégiée comme métrique-héros : contrairement au volume brut de CVE, elle ne dépend pas du niveau de couverture du NVD une année donnée. Une hausse signale une exploitation plus fréquente, pas seulement plus de publications.
Part des CVE devenues KEV
Pourcentage des CVE publiées dans l'année qui ont ensuite été ajoutées au catalogue des vulnérabilités activement exploitées (CISA KEV).
| Année | Part KEV |
|---|---|
| 2021 | 3.7% |
| 2022 | 2% |
| 2023 | 2.9% |
| 2024 | 2.2% |
| 2025 | 2.5% |
| 2026* | 0.4% |
Évolution du volume de CVE
Nombre de CVE publiées par an, réparti entre les CVE liées à une app suivie et celles liées à une release OS.
| Année | Apps suivies | Releases OS |
|---|---|---|
| 2021 | 543 | 983 |
| 2022 | 532 | 1117 |
| 2023 | 484 | 1196 |
| 2024 | 468 | 1588 |
| 2025 | 531 | 2028 |
| 2026* | 3572 | 2993 |
Apps suivies Releases OS
Le volume brut est un indicateur de contexte, pas une mesure de risque : il reflète aussi l'évolution de la couverture du NVD et l'agrandissement du catalogue Scout. À interpréter avec la part KEV.
Vecteurs d'attaque
Répartition des CVE par vecteur d'attaque CVSS : à distance (réseau), réseau adjacent, accès local, ou accès physique.
| Année | Réseau (à distance) | Réseau adjacent | Accès local | Accès physique |
|---|---|---|---|---|
| 2021 | 536 | 7 | 221 | 6 |
| 2022 | 507 | 0 | 71 | 6 |
| 2023 | 484 | 6 | 70 | 2 |
| 2024 | 557 | 6 | 458 | 32 |
| 2025 | 669 | 14 | 631 | 29 |
| 2026* | 4041 | 102 | 1912 | 70 |
Réseau (à distance) Réseau adjacent Accès local Accès physique
47 % des CVE de 2025 n'ont pas de vecteur CVSS renseigné (stubs Tier 1, NVD incomplet) et sont exclues de ce graphe, qui montre le mix des vecteurs connus.
Ventilation par plateforme · 2025
Une CVE cross-platform est comptée pour chaque plateforme touchée : c'est une ventilation, pas une partition.
iOS
387
11 en KEV
Android
514
11 en KEV
macOS
980
15 en KEV
Windows
1 303
36 en KEV
Méthodologie
- Sources : NVD (NIST) pour les CVE et le scoring CVSS, CISA KEV pour le statut « activement exploité ». Périmètre : apps suivies par Scout (iOS, Android, macOS, Windows) et releases OS documentées.
- Part KEV : nombre de CVE publiées dans l'année et présentes dans le catalogue CISA KEV, divisé par le nombre total de CVE publiées dans l'année (périmètre Scout).
- Dates : les CVE sont comptées par année de publication NVD ; les KEV par année d'ajout au catalogue CISA. On ne compte jamais un statut « ouvert » présent, une série temporelle s'appuie sur des dates d'événement immuables.
- Limite (couverture) : le volume de CVE dépend de la couverture du NVD et de la taille du catalogue Scout, qui évoluent dans le temps. Le volume brut est un contexte, pas une mesure de risque.
- Année en cours : marquée d'un astérisque (*) et exclue des comparaisons annuelles : ses chiffres ne sont pas encore consolidés.
Données recalculées le 2026-10-05 09:01 UTC.