FAQ

L’exploitation d’une zero-day repose sur le développement d’un exploit spécifique, c’est-à-dire un code ou une méthode capable de tirer parti de la faille avant qu’elle ne soit corrigée. L’attaquant peut l’intégrer dans un document piégé, un site web, un malware ou un email de phishing.

Une fois l’exploit lancé, il peut permettre de prendre le contrôle du système, d’installer un cheval de Troie, d’ouvrir une porte dérobée ou d’extraire des données. La particularité d’un exploit zero-day est qu’il échappe aux mécanismes de détection classiques, car il s’appuie sur une faiblesse encore inconnue de tous.

Les CWE sont des modèles abstraits de faiblesses, alors que les CVE sont des incidents concrets. Une CVE représente une vulnérabilité identifiée dans un logiciel ou un système précis, tandis qu’une CWE décrit une faiblesse générique présente dans le code ou l’architecture, sans forcément être exploitée.

Prenons un exemple : une CVE pourrait concerner une injection SQL dans une application web, tandis que la CWE correspondante serait CWE-89: Improper Neutralization of Special Elements used in an SQL Command. En résumé, les CWE servent à catégoriser et analyser les failles, alors que les CVE permettent de les suivre et les corriger individuellement.

Oui, de plus en plus d’organisations utilisent l’EPSS comme critère prioritaire pour décider quelles vulnérabilités corriger en premier, en particulier lorsqu’elles font face à un grand volume de failles à traiter. Corriger toutes les CVE ayant un score CVSS élevé peut être coûteux et inefficace, surtout si certaines ne sont jamais exploitées. L’EPSS permet donc de focaliser les ressources sur les failles réellement dangereuses.

Certaines politiques de sécurité intègrent désormais des seuils d’action basés sur l’EPSS, par exemple : “corriger toute vulnérabilité ayant un score EPSS > 0.7 dans les 48h”. Cette approche pragmatique permet d’accélérer la remédiation là où c’est le plus utile, tout en limitant les interruptions non justifiées.

La liste KEV (Known Exploited Vulnerabilities) publiée par la CISA recense les vulnérabilités activement exploitées dans la nature, c’est-à-dire déjà utilisées dans des cyberattaques réelles. Cette liste a pour objectif d’aider les organisations à prioriser leurs efforts de correction, en se concentrant sur les failles qui représentent une menace immédiate.

En publiant cette liste, la CISA fournit un outil de gestion des risques très concret : elle signale non seulement les failles connues, mais aussi les plus critiques et les plus urgentes. Pour les agences fédérales américaines, la correction de ces failles est obligatoire dans des délais stricts. Mais au-delà des États-Unis, la KEV est largement consultée par les professionnels de la cybersécurité dans le monde entier pour orienter leur stratégie de patch management.

Les CVE jouent un rôle central dans la gestion des vulnérabilités. Elles fournissent un langage commun à tous les acteurs de la cybersécurité pour suivre et documenter les failles, ce qui permet de prioriser les correctifs, d’automatiser les analyses et de structurer la veille sécuritaire. Sans CVE, chaque éditeur ou chercheur pourrait décrire une faille différemment, rendant la coordination complexe.

Elles sont également utilisées par les outils de scan de vulnérabilités, les SIEM, les SOC et les RSSI pour établir des politiques de réponse aux incidents. Leur adoption mondiale garantit que les failles sont identifiables et que les défenses peuvent être activées plus rapidement et de manière coordonnée.

Les failles zero-day sont particulièrement dangereuses parce qu’elles sont inconnues des éditeurs, des utilisateurs, et souvent des solutions de sécurité traditionnelles (antivirus, IDS, etc.). Cela signifie qu’il n’existe aucun correctif, aucun patch, et souvent aucun mécanisme de détection ou de protection au moment de l’attaque.

Les attaquants peuvent donc les exploiter sans être détectés, souvent dans le cadre d’attaques ciblées et sophistiquées (cyberespionnage, sabotage, accès prolongé à un système). Leur valeur est si élevée que certaines zero-day sont revendues sur le dark web ou à des acteurs gouvernementaux pour des centaines de milliers d’euros.

EPSS signifie Exploit Prediction Scoring System, ce qui se traduit par système de notation de prédiction d’exploitation. Il s’agit d’un modèle probabiliste qui attribue à chaque vulnérabilité (généralement identifiée par un identifiant CVE) une probabilité d’être exploitée dans les 30 jours suivant son observation.

L’objectif de l’EPSS est de compléter les autres systèmes d’évaluation (comme le CVSS) en ajoutant une couche dynamique et contextuelle basée sur des données réelles d’exploitation observées dans la nature. Il permet ainsi aux organisations de mieux prioriser leurs efforts de correction en se basant sur le risque d’exploitation réel.

CAPEC et CWE sont deux bases complémentaires maintenues par MITRE, mais elles n’ont pas le même objectif. CWE décrit des faiblesses techniques dans le code ou la conception (ex. : absence de validation d’entrée), tandis que CAPEC décrit des méthodes d’attaque exploitant ces faiblesses (ex. : injection SQL).

En d'autres termes, CWE se concentre sur la cause, tandis que CAPEC se concentre sur l'action de l'attaquant. Les deux peuvent être reliés : un modèle CAPEC précise souvent quelles CWE il cible, ce qui permet de faire le lien entre la vulnérabilité théorique, l’exploitation pratique, et les CVE associées.

Une CVE est simplement une déclaration publique qu’une faille existe dans un produit donné, tandis qu’une vulnérabilité exploitée signifie qu’un attaquant utilise activement cette faille pour compromettre des systèmes. En d’autres termes, toutes les CVE ne sont pas exploitées en conditions réelles : certaines peuvent rester théoriques ou techniques.

À l’inverse, une vulnérabilité peut être exploitée sans avoir encore reçu de CVE - c’est ce qu’on appelle une zero-day. Pour évaluer le danger réel d’une CVE, il faut consulter des informations complémentaires comme les données KEV de la CISA ou le score EPSS, qui indiquent si la faille est activement utilisée dans des cyberattaques. Ces informations sont disponible directement depuis notre site Internet CVE Find.

Une CVE (Common Vulnerabilities and Exposures) est une faille de sécurité déjà identifiée, documentée et publiée dans une base de données officielle. Elle est connue du public et, en général, des correctifs sont en cours ou déjà disponibles. En revanche, une zero-day est une faille non encore divulguée, donc non enregistrée dans une CVE au moment de sa découverte.

Autrement dit, toute zero-day peut devenir une CVE, mais toutes les CVE ne sont pas des zero-day. Le risque majeur d’une zero-day est justement qu’elle soit exploitable avant même son signalement, alors qu’une CVE est par définition une vulnérabilité en phase de traitement ou de correction.

Les professionnels de la cybersécurité sont les principaux utilisateurs des CAPEC : analystes SOC, experts en tests d’intrusion, architectes sécurité, développeurs, formateurs ou équipes de threat intelligence. Ils s’en servent pour comprendre les tactiques adverses, préparer des scénarios de tests, et renforcer les défenses.

Par exemple, un pentester peut utiliser un CAPEC pour structurer une attaque simulée selon un scénario réaliste. Un développeur peut y trouver des indications sur les erreurs de conception à éviter. Un RSSI peut les intégrer dans des analyses de risques pour mieux illustrer les conséquences potentielles d’une faiblesse technique.

La classification CWE permet de standardiser la compréhension des faiblesses de sécurité dans les systèmes informatiques. Elle aide les développeurs, les testeurs et les analystes à identifier les erreurs de conception ou de codage courantes, afin de les éviter ou de les corriger plus efficacement. Grâce à cette taxonomie, les outils de sécurité peuvent produire des rapports cohérents et exploitables.

Elle est également très utile pour la formation des équipes techniques, l’évaluation des outils de détection, la priorisation des risques, et la conformité à certaines normes comme ISO/IEC 27001. En intégrant les CWE dans les processus de développement, on peut améliorer significativement la sécurité dès la phase de conception.