Lexique · Sécurité des données
Vulnérabilité zero-day
Vulnérabilité qui n'a fait l'objet d'aucune publication ou n'a reçu aucun correctif au moment où elle est exploitée. Les utilisateurs ne disposent donc pas encore d'une mise à jour pour s'en protéger. L'exploit zero-day désigne le code qui s'en sert pour attaquer un système.
Ce que ça change pour une organisation
Les vulnérabilités sont généralement corrigées par les mises à jour ou les correctifs que publient les éditeurs, d’après le glossaire de l’ANSSI. Face à un zero-day, cette parade habituelle n’existe pas encore : l’organisation doit donc limiter l’impact d’une exploitation possible plutôt que de compter sur le seul correctif.
Les recommandations de la CISA, formulées à propos d’une campagne exploitant un zero-day, en donnent les axes : donner la priorité au correctif des vulnérabilités connues pour être exploitées sur les systèmes exposés à Internet, désactiver les ports inutilisés, limiter l’usage du bureau à distance (RDP) et exiger l’authentification multifacteur, segmenter le réseau, conserver des sauvegardes hors ligne, chiffrées et immuables, et auditer les comptes à privilèges. Une fois le correctif publié, la vulnérabilité cesse d’être inconnue, mais le risque persiste pour les systèmes qui n’ont pas été mis à jour, ce qui relève alors de la gestion des correctifs.
Exemple
Dans un avis conjoint du 7 juin 2023, la CISA et le FBI indiquent que, selon des sources ouvertes, le groupe CL0P exploitait depuis le 27 mai 2023 une injection SQL jusque-là inconnue (CVE-2023-34362) du logiciel de transfert de fichiers MOVEit Transfer. Les attaquants déposaient sur les serveurs exposés à Internet un web shell nommé LEMURLOOT, qui leur servait à voler des données dans les bases sous-jacentes. La CISA a inscrit cette vulnérabilité à son catalogue des vulnérabilités exploitées connues le 2 juin 2023.
À ne pas confondre avec
- Le malware zéro clic, qui se définit par l’absence de toute action de la victime : un zero-day se définit par l’absence de correctif ou de publication, et une attaque zero-day n’est pas forcément zéro clic.
- Une vulnérabilité connue mais non corrigée, dont le correctif existe mais n’a pas été appliqué : ce n’est plus un zero-day, et le risque tient à la gestion des correctifs.
- Le score CVSS, qui mesure la gravité d’une vulnérabilité et non le fait qu’elle soit déjà exploitée ou dépourvue de correctif.
Employé dans
3 articles- 077 Fuite Shipup : quand une faille chez un prestataire expose les clients de Printemps, Micromania et Aroma-Zone 04 Sécurité · 13 min
- 054 Téléphone sur écoute en 2026 : 16 signes pour détecter l'espionnage et se protéger Se protéger · 16 min
- 044 Comment la justice peut techniquement activer votre caméra ou micro de téléphone? Se protéger · 9 min
