Aller au contenu
Appaloosa Scout

Observatoire des menaces

Observatoire des menaces

Lecture pluriannuelle des vulnérabilités des apps et OS suivis par Scout (iOS, Android, macOS, Windows). On mesure d'abord la part des CVE réellement exploitées (KEV CISA) — un signal robuste à l'effet de couverture du NVD — puis le contexte de volume et les vecteurs d'attaque.

Toutes les années 2026*2025202420232022202120202019
Années antérieures
2018201720162015201420132012201120102009200820072006200520042002200120001999

Métrique-clé · part KEV

2,5 % des CVE publiées en 2025 ont été ajoutées au catalogue CISA KEV (exploitées en réel).

+0,3 pts vs 2024

La part KEV est privilégiée comme métrique-héros : contrairement au volume brut de CVE, elle ne dépend pas du niveau de couverture du NVD une année donnée. Une hausse signale une exploitation plus fréquente, pas seulement plus de publications.

Part des CVE devenues KEV

Pourcentage des CVE publiées dans l'année qui ont ensuite été ajoutées au catalogue des vulnérabilités activement exploitées (CISA KEV).

Part des CVE devenues KEV0%2%4%6%8%2021 — Part KEV 4.6%2022 — Part KEV 6.6%2023 — Part KEV 2.8%2024 — Part KEV 2.2%2025 — Part KEV 2.5%2026* — Part KEV 0.9%202120222023202420252026*
Part KEV (%) des CVE publiées, par année
AnnéePart KEV
20214.6%
20226.6%
20232.8%
20242.2%
20252.5%
2026*0.9%

Évolution du volume de CVE

Nombre de CVE publiées par an, réparti entre les CVE liées à une app suivie et celles liées à une release OS.

Évolution du volume de CVE01000200030004000Apps suiviesReleases OS2021 — Apps suivies 116, Releases OS 9832022 — Apps suivies 162, Releases OS 11172023 — Apps suivies 180, Releases OS 11952024 — Apps suivies 169, Releases OS 15882025 — Apps suivies 186, Releases OS 20232026* — Apps suivies 317, Releases OS 1614→ 3 161 projeté202120222023202420252026*
CVE publiées par année, ventilées apps vs OS
AnnéeApps suiviesReleases OS
2021116983
20221621117
20231801195
20241691588
20251862023
2026*3171614

Apps suivies Releases OS

Le volume brut est un indicateur de contexte, pas une mesure de risque : il reflète aussi l'évolution de la couverture du NVD et l'agrandissement du catalogue Scout. À interpréter avec la part KEV.

Vecteurs d'attaque

Répartition des CVE par vecteur d'attaque CVSS : à distance (réseau), réseau adjacent, accès local, ou accès physique.

Vecteurs d'attaque05001000150020002021 — Réseau (à distance) 1542021 — Réseau adjacent 42021 — Accès local 1062021 — Accès physique 22022 — Réseau (à distance) 1562022 — Accès local 512022 — Accès physique 32023 — Réseau (à distance) 1742023 — Réseau adjacent 52023 — Accès local 432024 — Réseau (à distance) 2942024 — Réseau adjacent 62024 — Accès local 4282024 — Accès physique 322025 — Réseau (à distance) 4242025 — Réseau adjacent 132025 — Accès local 4482025 — Accès physique 252026* — Réseau (à distance) 7012026* — Réseau adjacent 282026* — Accès local 7622026* — Accès physique 42202120222023202420252026*
CVE par vecteur d'attaque CVSS, par année
AnnéeRéseau (à distance)Réseau adjacentAccès localAccès physique
202115441062
20221560513
20231745430
2024294642832
20254241344825
2026*7012876242

Réseau (à distance) Réseau adjacent Accès local Accès physique

59 % des CVE de 2025 n'ont pas de vecteur CVSS renseigné (stubs Tier 1, NVD incomplet) et sont exclues de ce graphe, qui montre le mix des vecteurs connus.

Bilan 2025 (dernière année définitive)

L'année en cours est exclue des comparaisons — ses chiffres ne sont pas encore consolidés.

Part KEV
2,5 %
CVE publiées
2 203
KEV ajoutées
55
Apps touchées
6

Ventilation par plateforme · 2025

Une CVE cross-platform est comptée pour chaque plateforme touchée : c'est une ventilation, pas une partition.

iOS

375

11 en KEV

Android

513

11 en KEV

macOS

673

10 en KEV

Windows

969

30 en KEV

Méthodologie

  • Sources : NVD (NIST) pour les CVE et le scoring CVSS, CISA KEV pour le statut « activement exploité ». Périmètre : apps suivies par Scout (iOS, Android, macOS, Windows) et releases OS documentées.
  • Part KEV : nombre de CVE publiées dans l'année et présentes dans le catalogue CISA KEV, divisé par le nombre total de CVE publiées dans l'année (périmètre Scout).
  • Dates : les CVE sont comptées par année de publication NVD ; les KEV par année d'ajout au catalogue CISA. On ne compte jamais un statut « ouvert » présent — une série temporelle s'appuie sur des dates d'événement immuables.
  • Limite (couverture) : le volume de CVE dépend de la couverture du NVD et de la taille du catalogue Scout, qui évoluent dans le temps. Le volume brut est un contexte, pas une mesure de risque.
  • Année en cours : marquée d'un astérisque (*) et exclue des comparaisons annuelles — ses chiffres ne sont pas encore consolidés.

Données recalculées le 2026-08-11 15:21 UTC.