Qu'est-ce qu'un exploit zero-day ?

Un exploit zero-day est un code d'attaque visant une vulnérabilité de sécurité que l'éditeur du logiciel ne connaît pas encore. Le nom relève de la comptabilité, pas de la poésie : les développeurs ont eu zéro jour pour élaborer un correctif, si bien qu'au moment de l'attaque il n'existe ni correctif ni, souvent, signature de détection. Trois termes voisins méritent d'être distingués. La vulnérabilité zero-day est la faille inconnue elle-même, l'exploit zero-day est le code d'attaque fonctionnel qui l'exploite, et une attaque zero-day est l'usage de ce code contre des cibles réelles. Les véritables zero-days sont rares et coûteux : Google Threat Intelligence Group a recensé 75 vulnérabilités zero-day exploitées dans la nature en 2024, contre 98 l'année précédente, la plupart brûlées lors d'attaques ciblées menées par des groupes soutenus par des États et des éditeurs commerciaux de logiciels espions. Pour un site web ordinaire, le danger statistiquement dominant n'est pas du tout le zero-day, mais le n-day : la fenêtre qui suit la publication d'un correctif, pendant laquelle les attaquants exploitent en masse tous ceux qui n'ont pas encore mis à jour.

Que signifie zero-day ? Vulnérabilité, exploit et attaque

Le terme circule de façon assez lâche, un peu de précision aide donc :

• Vulnérabilité zero-day : une faille de sécurité présente dans un logiciel livré mais inconnue de l'éditeur. Elle peut passer inaperçue pendant des années, et les études sur les zero-days exploités révèlent régulièrement des failles présentes de longue date dans le code.
• Exploit zero-day : du code fonctionnel qui transforme la faille en capacité concrète, comme l'exécution de code à distance ou l'élévation de privilèges. Écrire un exploit fiable est souvent bien plus difficile que de trouver le bug.
• Attaque zero-day : l'exploit employé contre des cibles réelles alors que l'éditeur est encore dans le noir.

Le zéro compte les jours dont le défenseur a disposé pour réagir. Dès que l'éditeur prend connaissance de la faille, le chronomètre démarre, et une fois le correctif publié le même exploit se dégrade en n-day : toujours dangereux, mais seulement contre ceux qui n'ont pas mis à jour.

Comment fonctionne une attaque zero-day ? Le cycle de vie d'une vulnérabilité

1. La faille naît : un bug arrive en production sans que personne ne le remarque.
2. Quelqu'un la trouve : et c'est là que les chemins bifurquent. Un chercheur en sécurité la signale à l'éditeur, idéalement via un processus de divulgation coordonnée ou un programme de bug bounty. Un criminel ou un acteur étatique la garde secrète et la transforme en arme.
3. Exploitation dans la nature : dans le mauvais scénario, l'exploit est employé discrètement contre des cibles choisies. Cette phase peut durer des mois, et elle ne se termine généralement que lorsque les défenseurs repèrent l'anomalie.
4. Divulgation et correctif : l'éditeur développe un correctif et publie un avis de sécurité, en général assorti d'un identifiant CVE.
5. La phase n-day : la faille est désormais publique, le correctif peut être rétroconçu, et l'exploitation passe du ciblé à l'industriel. Les attaquants balaient l'Internet entier à la recherche de systèmes non mis à jour, et le délai entre la publication d'un correctif et l'exploitation de masse s'est réduit à quelques jours, parfois quelques heures.

Cette dernière étape surprend : la publication d'un correctif rend temporairement la situation plus dangereuse, et non moins, pour tous ceux qui ne l'appliquent pas. Le correctif est la carte qui mène à la vulnérabilité.

Zero-day contre n-day : lequel faut-il vraiment craindre ?

Évaluation honnête du risque pour un propriétaire de site : un véritable zero-day employé contre vous est peu probable, sauf si vous êtes un gouvernement, une grande entreprise, un journaliste ou une cible spécifiquement précieuse pour une autre raison. Les zero-days coûtent cher et perdent de la valeur à chaque usage, si bien que les attaquants les dépensent avec parcimonie. Ce qui frappe les sites ordinaires tous les jours, c'est le n-day. La vulnérabilité est publique, le code d'exploitation est sur GitHub, et des robots recherchent la version logicielle concernée en continu. La défense contre les n-days est sans panache et extrêmement efficace : mettez à jour vite. Un site qui applique les mises à jour de sécurité en moins d'une journée est immunisé contre la phase où se produit la grande majorité des compromissions réelles.

Les attaques zero-day célèbres

• Stuxnet (2010) : le ver de sabotage dirigé contre le programme nucléaire iranien a utilisé quatre zero-days Windows dans une seule opération, du jamais-vu à l'époque, et a popularisé le terme.
• Sony Pictures et l'ère des logiciels espions : des éditeurs commerciaux comme NSO Group ont industrialisé les chaînes de zero-days, FORCEDENTRY (CVE-2021-30860) infectant des iPhone entièrement à jour via un exploit iMessage sans clic.
• MOVEit Transfer (2023) : le groupe de rançongiciels Cl0p a exploité un zero-day d'injection SQL (CVE-2023-34362) dans un produit de transfert de fichiers managé et a dérobé les données de bien plus de 2 000 organisations en une seule campagne, l'une des plus vastes brèches de type chaîne d'approvisionnement jamais enregistrées.
• Les équipements de périphérie d'entreprise (2023 à 2025) : la tendance récente porte sur des zero-days dans l'infrastructure de sécurité elle-même, passerelles VPN, pare-feu et appliances de transfert de fichiers, parce qu'un seul équipement exploité ouvre des centaines de réseaux d'entreprise.

Combien de zero-days sont exploités chaque année ?

Les meilleurs chiffres publics viennent de Google Threat Intelligence Group, qui suit l'exploitation de zero-days dans la nature à l'échelle du secteur : 75 zero-days exploités en 2024, 98 en 2023, 63 en 2022. Deux tendances comptent derrière ces nombres. D'abord, une part croissante vise des produits d'entreprise, en particulier les équipements de sécurité et de réseau, plutôt que des logiciels grand public. Ensuite, une proportion substantielle remonte à des éditeurs commerciaux de surveillance qui vendent des capacités d'intrusion à des gouvernements. Les navigateurs et les systèmes d'exploitation mobiles restent des cibles prisées, mais ils sont aussi devenus nettement plus difficiles à exploiter, ce qui explique précisément la hausse continue des prix.

Le marché du zero-day : bug bounties et courtiers en exploits

Ce qui se passe après la découverte dépend de qui a trouvé la faille, et il existe un marché pour chaque réponse. Sur le marché blanc, les chercheurs signalent aux éditeurs contre des bug bounties, avec des programmes comme la Zero Day Initiative et des événements comme Pwn2Own qui versent des récompenses à cinq et six chiffres, et Google Project Zero qui impose aux éditeurs son fameux délai de divulgation de 90 jours. Sur le marché gris, des courtiers achètent des exploits et les revendent à des clients gouvernementaux, avec des grilles tarifaires publiées atteignant sept chiffres pour des chaînes smartphone sans clic. Et sur le marché noir, la même catégorie de marchandise change de mains entre criminels. L'économie explique la défense : chaque couche d'atténuation d'exploitation augmente le coût de développement d'une chaîne fonctionnelle, et chaque cycle de correctif rapide raccourcit la durée de vie du produit.

Les exploits zero-day dans WordPress

Le cœur de WordPress n'a plus connu de vague de compromission zero-day significative depuis des années, et son équipe sécurité est réactive. L'écosystème des extensions est une autre histoire, et il a produit des cas d'école. En septembre 2020, des attaquants ont exploité en zero-day une faille de téléversement de fichiers dans WP File Manager (CVE-2020-25213), contre une extension active sur environ 700 000 sites, avec des centaines de milliers de tentatives d'attaque enregistrées avant que la plupart des sites n'aient pu se mettre à jour. En 2021, l'extension Fancy Product Designer a été attaquée via la CVE-2021-24370 alors qu'aucun correctif n'existait. Le schéma est constant : les attaquants surveillent les extensions populaires, et une faille dans l'une d'elles se propage instantanément à tous les sites qui l'exécutent. La leçon pratique est brutale : chaque extension installée est une surface d'attaque, et une extension que vous ne faites pas tourner ne peut pas vous nuire avec son zero-day.

Comment protéger mon site web contre les exploits zero-day ?

Vous ne pouvez pas corriger l'inconnu : l'objectif se déplace donc de la prévention vers la limitation des dégâts et la rapidité de réaction. Les mesures qui font réellement bouger l'aiguille :

• Réduisez la surface d'attaque : désinstallez les extensions et les thèmes que vous n'utilisez pas. Désactivé ne suffit pas, supprimez-les.
• Privilégiez les extensions bien maintenues : un développeur actif signifie que le correctif finit par arriver en quelques heures au lieu de quelques semaines, voire jamais.
• Utilisez un web application firewall : les éditeurs de WAF diffusent des correctifs virtuels qui bloquent les schémas d'exploitation avant même l'existence du correctif officiel, ce qui constitue ce qui se rapproche le plus d'une véritable défense contre les zero-days pour un propriétaire de site.
• Appliquez le moindre privilège : moins de comptes administrateur, authentification à deux facteurs, aucun identifiant partagé. Un exploit qui atterrit dans un contexte peu privilégié fait moins de dégâts.
• Durcissez la plateforme : DISALLOW_FILE_EDIT, permissions de fichiers correctes, aucune sortie de débogage en production. Le durcissement n'arrête pas l'exploit, il affame la phase de post-exploitation.
• Conservez des sauvegardes hors site et surveillez l'intégrité des fichiers : partez du principe qu'une compromission est possible et rendez la restauration ennuyeuse.
• Mettez à jour vite dès qu'un correctif paraît : la fenêtre n-day est celle où vous gagnez ou perdez, et elle dépend entièrement de vous.

Comment InspectWP aide-t-il face aux zero-days ?

InspectWP ne peut pas voir une vulnérabilité non divulguée, et tout outil qui prétend le contraire vous vend quelque chose. Ce qu'il couvre en revanche, c'est tout ce qui entoure le zero-day : il inventorie les extensions et les thèmes qu'un site fait réellement tourner, signale les composants présentant des vulnérabilités connues dès leur publication, et vérifie les mesures de durcissement qui limitent ce qu'un exploit peut faire, des en-têtes de sécurité aux fichiers sensibles exposés. Cet inventaire est exactement ce dont vous avez besoin le jour où un zero-day d'extension fait la une, car la première question est toujours la même : est-ce que nous l'utilisons quelque part ? Avec des rapports planifiés sur l'ensemble de vos projets, vous y répondez en quelques secondes au lieu de fouiller une douzaine de tableaux de bord wp-admin.