Aller au contenu
Appaloosa Scout

Observatoire des menaces

Observatoire des menaces

Lecture pluriannuelle des vulnérabilités des apps et OS suivis par Scout (iOS, Android, macOS, Windows). On mesure d'abord la part des CVE réellement exploitées (KEV CISA) — un signal robuste à l'effet de couverture du NVD — puis le contexte de volume et les vecteurs d'attaque.

Toutes les années 2026* 2025 2024 2023 2022 2021 2020 2019 2018 2017 2016 2015 2014 2013 2012 2011 2010 2009 2008 2007 2006 2005 2004 2002 2001

Métrique-clé · part KEV

2,5 % des CVE publiées en 2025 ont été ajoutées au catalogue CISA KEV (exploitées en réel).

+0,4 pts vs 2024

La part KEV est privilégiée comme métrique-héros : contrairement au volume brut de CVE, elle ne dépend pas du niveau de couverture du NVD une année donnée. Une hausse signale une exploitation plus fréquente, pas seulement plus de publications.

Part des CVE devenues KEV

Pourcentage des CVE publiées dans l'année qui ont ensuite été ajoutées au catalogue des vulnérabilités activement exploitées (CISA KEV).

Part des CVE devenues KEV0%1.8%3.6%5.4%7.3%2021 — Part KEV 4.6%2022 — Part KEV 6.6%2023 — Part KEV 2.8%2024 — Part KEV 2.1%2025 — Part KEV 2.5%2026* — Part KEV 1.4%202120222023202420252026*
Part KEV (%) des CVE publiées, par année
AnnéePart KEV
20214.6%
20226.6%
20232.8%
20242.1%
20252.5%
2026*1.4%

Évolution du volume de CVE

Nombre de CVE publiées par an, réparti entre les CVE liées à une app suivie et celles liées à une release OS.

Évolution du volume de CVE0541.31082.51623.82165Apps suiviesReleases OS2021 — Apps suivies 116, Releases OS 9832022 — Apps suivies 162, Releases OS 11162023 — Apps suivies 177, Releases OS 11922024 — Apps suivies 169, Releases OS 16492025 — Apps suivies 186, Releases OS 19792026* — Apps suivies 209, Releases OS 991202120222023202420252026*
CVE publiées par année, ventilées apps vs OS
AnnéeApps suiviesReleases OS
2021116983
20221621116
20231771192
20241691649
20251861979
2026*209991

Apps suivies Releases OS

Le volume brut est un indicateur de contexte, pas une mesure de risque : il reflète aussi l'évolution de la couverture du NVD et l'agrandissement du catalogue Scout. À interpréter avec la part KEV.

Vecteurs d'attaque

Répartition des CVE par vecteur d'attaque CVSS : à distance (réseau), réseau adjacent, accès local, ou accès physique.

Vecteurs d'attaque0104.5209313.54182021 — Réseau (à distance) 962021 — Réseau adjacent 22021 — Accès local 192022 — Réseau (à distance) 1382022 — Accès local 282022 — Accès physique 22023 — Réseau (à distance) 1512023 — Réseau adjacent 32023 — Accès local 262024 — Réseau (à distance) 1422024 — Accès local 302024 — Accès physique 22025 — Réseau (à distance) 1502025 — Accès local 462026* — Réseau (à distance) 2282026* — Réseau adjacent 92026* — Accès local 1762026* — Accès physique 5202120222023202420252026*
CVE par vecteur d'attaque CVSS, par année
AnnéeRéseau (à distance)Réseau adjacentAccès localAccès physique
2021962190
20221380282
20231513260
20241420302
20251500460
2026*22891765

Réseau (à distance) Réseau adjacent Accès local Accès physique

91 % des CVE de 2025 n'ont pas de vecteur CVSS renseigné (stubs Tier 1, NVD incomplet) et sont exclues de ce graphe, qui montre le mix des vecteurs connus.

Bilan 2025 (dernière année définitive)

L'année en cours est exclue des comparaisons — ses chiffres ne sont pas encore consolidés.

Part KEV
2,5 %
CVE publiées
2 159
KEV ajoutées
55
Apps touchées
6

Ventilation par plateforme · 2025

Une CVE cross-platform est comptée pour chaque plateforme touchée : c'est une ventilation, pas une partition.

iOS

347

10 en KEV

Android

510

11 en KEV

macOS

634

9 en KEV

Windows

969

30 en KEV

Méthodologie

  • Sources : NVD (NIST) pour les CVE et le scoring CVSS, CISA KEV pour le statut « activement exploité ». Périmètre : apps suivies par Scout (iOS, Android, macOS, Windows) et releases OS documentées.
  • Part KEV : nombre de CVE publiées dans l'année et présentes dans le catalogue CISA KEV, divisé par le nombre total de CVE publiées dans l'année (périmètre Scout).
  • Dates : les CVE sont comptées par année de publication NVD ; les KEV par année d'ajout au catalogue CISA. On ne compte jamais un statut « ouvert » présent — une série temporelle s'appuie sur des dates d'événement immuables.
  • Limite (couverture) : le volume de CVE dépend de la couverture du NVD et de la taille du catalogue Scout, qui évoluent dans le temps. Le volume brut est un contexte, pas une mesure de risque.
  • Année en cours : marquée d'un astérisque (*) et exclue des comparaisons annuelles — ses chiffres ne sont pas encore consolidés.

Données recalculées le 2026-06-14 22:17 UTC.