Vulnérabilités Zéro-Day : Bilan 2025 et leçons pour l'avenir
- Par Maéva MARMIN
- 10 min
- EXPERTISE & ÉDUCATION
L'année 2025 a été marquée par une intensification des attaques zero-day à travers l'ensemble de l'écosystème numérique. Des infrastructures critiques aux logiciels grand public, en passant par les équipements réseau, aucun secteur n'a été épargné. De l'opération Salt Typhoon ciblant les géants des télécommunications à la faille CVE-2025-0282 affectant des millions d'utilisateurs Chrome, 2025 a démontré que la menace zero-day est devenue systémique. Retour sur une année qui redéfinit les priorités en cybersécurité.
Zero-Day : Une faille de sécurité inconnue de l'éditeur du logiciel. Il a "zéro jour" pour la corriger avant qu'elle ne soit exploitée.
Les chiffres clés de 2025
L'année 2025 illustre une réalité contrastée : si le nombre total de vulnérabilités continue de croître, les efforts de sécurité proactive portent leurs fruits. Ces tendances sont corroborées par le Baromètre Annuel du CESIN et les alertes régulières du CERT-FR.
💡 Analyse : Sur 1 129 vulnérabilités Microsoft corrigées en 2025, seulement 24 (2,1%) ont été exploitées avant la publication d'un correctif. Cela témoigne de l'efficacité des programmes de détection proactive et de bug bounty. Toutefois, ces 24 failles ont causé des dégâts considérables, rappelant qu'en cybersécurité, ce n'est pas la quantité mais la criticité qui compte.
Au-delà de Microsoft, 2025 a vu des failles zero-day critiques toucher des équipements réseau (Cisco ASA, Fortinet), des navigateurs (Chrome CVE-2025-0282) et des infrastructures cloud. Le paysage de la menace s'est considérablement diversifié.
Les failles majeures de 2025
CVE-2025-0282 : Faille critique Chrome
Google a corrigé en urgence la CVE-2025-0282, une vulnérabilité use-after-free dans le moteur JavaScript V8 de Chrome, activement exploitée dans la nature.
- Score CVSS : 8.8 (Critique)
- Impact : Exécution de code arbitraire via une page web malveillante
- Versions affectées : Chrome < 132.0.6834.83/.84, Edge, Opera, Brave (tous basés sur Chromium)
Cisco ASA & FTD : Faille d'exécution de code à distance
Une vulnérabilité RCE (Cisco Advisory) dans les dispositifs Cisco ASA et Firepower Threat Defense a été exploitée pour compromettre des pare-feux d'entreprise.
- Vecteur d'attaque : VPN SSL/TLS non authentifié
- Impact : Prise de contrôle complète des équipements réseau
- Particularité : Exploitable à distance, sans authentification
🔴 Salt Typhoon et l'attaque ToolShell
Le groupe d'espionnage Salt Typhoon (lié à la Chine, tout comme Linen Typhoon et Storm-2603) a exploité une faille critique dans Microsoft SharePoint pour infiltrer les réseaux de télécommunications.
- Vecteur initial : Vulnérabilité zero-day sur SharePoint
- Attaque : Déploiement de l'outil malveillant ToolShell pour maintenir la persistance
- Impact : Vol de données, accès aux journaux d'appels et espionnage de masse
- Réponse : Le CERT-FR a émis une alerte (niveau le plus élevé) pour cette compromission
⚠️ Contexte critique
Contrairement aux avis de sécurité classiques, le CERT-FR n'émet des alertes que pour les menaces de criticité maximale nécessitant une réponse immédiate.
Fortinet FortiOS : Exploitation de masse
Une faille heap-based buffer overflow (Fortinet PSIRT) dans le démon SSL VPN de FortiOS a permis à des attaquants d'établir des backdoors persistantes.
- Campagnes observées : Déploiement de ransomwares et d'outils de reconnaissance réseau
- Recommandation : L'ANSSI a exigé la désactivation temporaire des VPN SSL pour les organisations critiques
Ivanti Connect Secure : Chaîne d'exploitation zero-day
Deux vulnérabilités zero-day enchaînées ont permis un accès non autorisé aux appliances VPN Ivanti, largement déployées dans les secteurs financiers et gouvernementaux.
- Technique : Contournement d'authentification + élévation de privilèges
- Attribution : Campagne liée à des groupes APT chinois (source : Mandiant)
Tendances 2025 : Ce qui change
Accélération des délais d'exploitation
Le délai entre la découverte d'une vulnérabilité et son exploitation s'est considérablement réduit. Selon Cybermalveillance.gouv.fr, les équipes de sécurité mesuraient auparavant ce délai en jours. Aujourd'hui, il s'est effondré à quelques heures seulement, dopé par l'IA générative.
Ciblage des infrastructures d'entreprise
Les cybercriminels ciblent désormais en priorité les technologies d'entreprise : VPN, firewalls, solutions de gestion. Ces cibles offrent un accès privilégié aux réseaux, comme souligné dans le dernier baromètre du CESIN.
Leçons pour 2026 : Que retenir ?
Recommandations Stratégiques
- Industrialisez votre surveillance (SIEM & SOC) : Face à des menaces persistantes, la simple prévention ne suffit plus. Un SIEM et un SOC deviennent indispensables pour une détection en temps réel. Les solutions de Spaertan offrent l'expertise nécessaire pour sécuriser votre environnement 24/7.
- Automatisez vos mises à jour : Les correctifs critiques doivent être déployés dans les 48 heures, conformément au Guide d'hygiène de l'ANSSI.
- Surveillez en continu : Investissez dans des solutions de détection basées sur l'IA (EDR) pour repérer les signaux faibles.
- Auditez vos fournisseurs : Évaluez la sécurité de votre chaîne d'approvisionnement logicielle (Supply Chain).
- Formez vos équipes : L'ingénierie sociale reste le vecteur d'attaque privilégié. Sensibilisez régulièrement vos collaborateurs.
- Éliminez le code obsolète : Les composants hérités représentent une bombe à retardement. Réduisez votre surface d'attaque.
L'approche Zero Trust devient incontournable
Face à la multiplication des failles zero-day, le modèle de sécurité traditionnel basé sur le périmètre montre ses limites. L'approche Zero Trust (confiance zéro) s'impose : chaque utilisateur, appareil et connexion doit être vérifié en permanence.
Perspectives pour l'avenir
Les experts anticipent une poursuite de la tendance. Les organisations qui investissent dès maintenant dans la détection proactive et l'automatisation seront les mieux armées pour affronter 2026.
Questions fréquentes (FAQ)
Comment savoir si mon système est affecté par une vulnérabilité zero-day ?
Quelle est la différence entre une vulnérabilité zero-day et une vulnérabilité classique ?
Les petites entreprises sont-elles aussi concernées par les zero-day ?
Combien de temps faut-il pour corriger une zero-day après sa découverte ?
L'année 2025 marque un tournant dans la lutte contre les cybermenaces. Les vulnérabilités zero-day ne sont plus des incidents isolés, mais une réalité quotidienne. Seule une stratégie de sécurité combinant technologie, processus et formation permettra d'y faire face.
Ne laissez pas une faille Zero-Day dicter votre avenir
Face à des menaces invisibles et immédiates, la réactivité est votre seule arme. Ne laissez pas votre infrastructure vulnérable en attendant le prochain correctif. Chez Saepiens, nous auditons et sécurisons vos systèmes critiques pour transformer l'incertitude en résilience.
Besoin de sécuriser votre IT face aux menaces émergentes ?
SÉCURISER MON SI
