34:55Cet enregistrement n'est pas encore disponible.
Exploited CVEs of 2025: Lessons for Vendors and Defenders
Télécharger les ressourcesCatégories
À propos de cette session
Patrick Garrity, chercheur en sécurité chez VulnCheck, présente ce que son équipe a appris en tenant un catalogue gratuit des vulnérabilités confirmées exploitées dans la nature durant la première moitié de 2025. Il nuance le discours sur la croissance explosive des CVE : l'essentiel vient des extensions WordPress, des projets open source et des divulgations automatisées de Linux, pas des grandes plateformes d'entreprise. Sur 432 vulnérabilités exploitées répertoriées, environ le tiers avait déjà des preuves d'exploitation à la date même de l'émission du CVE, et l'attribution des rançongiciels accuse toujours un retard sur la divulgation, donc attendre l'attribution avant de corriger est trop lent. Il classe la menace par palier, exploitation confirmée, arme prête à l'emploi, preuve de concept, et montre que la sévérité CVSS bouge à peine même enrichie de renseignements sur la menace, tandis que les scores EPSS des vulnérabilités exploitées progressent très lentement sur plusieurs semaines. Les équipements de périmètre réseau, les systèmes de gestion de contenu, les logiciels serveurs et les infrastructures de sauvegarde et de virtualisation dominent l'exploitation réelle, aux côtés d'une poignée d'acteurs étatiques récurrents. Il termine sur le Cyber Resilience Act européen, qui impose une divulgation en 24 heures et un avis aux clients en 72 heures, et recommande de prioriser les preuves d'exploitation confirmées plutôt qu'un seul système de notation.
In 2025, It's estimated that over 500 vulnerabilities will be exploited in the wild for the first time. This talk will focus on the trends and patterns observed in these known exploited vulnerabilities year-to-date, offering comprehensive analysis to empower both vendors and defenders. Key Takeaways: Insights into 2025 exploited vulnerability trends and patterns. A look at how known exploitation maps to common vulnerability data. A deep dive into examples of this year's exploited vulnerabilities and how to identify risks before exploitation occurs. Recommendations on how vendors and defenders can get early indicators that a threat actor might exploit a vulnerability.
À retenir
- Ne pas attendre l'attribution à un acteur menaçant avant de corriger une vulnérabilité exploitée connue; l'attribution accuse toujours un retard sur les preuves d'exploitation, même pour les rançongiciels.
- Considérer les équipements de périmètre réseau, les systèmes de gestion de contenu, les logiciels serveurs et les infrastructures de sauvegarde et de virtualisation comme les catégories les plus exploitées, et y prioriser correctifs et contrôles compensatoires.
- Ne pas se fier uniquement à la sévérité CVSS pour prioriser; le score de base bouge à peine même enrichi de renseignements sur la menace, ce qui peut enterrer une vulnérabilité activement exploitée sous des éléments moins urgents.
- Traiter EPSS comme un signal lent, pas en temps réel; plusieurs vulnérabilités exploitées confirmées restent dans la tranche de probabilité la plus basse des semaines après le signalement de l'exploitation.
- Si vous vendez des logiciels dans l'UE, bâtir dès maintenant un processus de divulgation d'exploitation en 24 heures aux autorités et d'avis aux clients en 72 heures en vertu du Cyber Resilience Act; les amendes sont proportionnelles au chiffre d'affaires.
Conférenciers
Patrick Garrity
Patrick Garrity is a security researcher at VulnCheck where he focuses on vulnerabilities, vulnerability exploitation and threat actors. Patrick has spent the last decade helping building Cybersecurity companies including Duo Security, Censys… Lire la suiteRéduire
Patrick Garrity is a security researcher at VulnCheck where he focuses on vulnerabilities, vulnerability exploitation and threat actors. Patrick has spent the last decade helping building Cybersecurity companies including Duo Security, Censys, Blumira, Nucleus Security and VulnCheck.
