Chronique no 043 — 2026
Zero-Day, l'art de répondre à ce qu'on ne connaît pas encore
Faille exploitée, aucun correctif : inventaire, mesures compensatoires, décisions d'urgence, CRA. Préparer la réponse à un zero-day avant qu'il ne frappe.
Face à une faille sans correctif, on ne mesure plus la vitesse de patch d’une organisation. On mesure ce qu’elle avait préparé sans savoir pour quoi.
Samedi 19 juillet 2025. Un grand éditeur confirme qu’une faille de sa plateforme collaborative, dans sa version installée sur site, est exploitée depuis la veille. Le correctif n’existe pas encore. Le correctif publié le même mois pour une faille voisine a été contourné.
La consigne tient en deux lignes : activer une interface d’analyse antimalware sur les serveurs. Et si ce n’est pas possible, les déconnecter d’internet jusqu’à nouvel ordre.
L’épisode 042 s’achevait sur cette limite : un stress-test n’éprouve que les scénarios que quelqu’un a su imaginer. Le zero-day est précisément ce que personne n’a imaginé. Ni l’éditeur, ni vous.
Ce n’est pas un sujet de plus pour le quatrième trimestre. C’est l’examen final. Tout ce que Plan R a décrit depuis janvier se vérifie en quelques heures : la cartographie (001), la nomenclature logicielle (008), les équipes (012), l’automatisation (026), la gouvernance (004).
La vraie question n’est pas « combien de temps pour patcher ? ». C’est : « que sait-on faire, et qui peut décider, pendant les heures où il n’y a rien à patcher ? »
1. Zéro jour, ou la fin du délai de grâce
Un zero-day est une vulnérabilité exploitée avant que le correctif ne soit disponible. Le défenseur n’a eu, littéralement, aucun jour pour s’y préparer.
Google en a recensé 90 exploitées en 2025. Près de la moitié, 43, visaient des technologies d’entreprise, un record. La moitié de celles-ci touchaient des équipements de sécurité et de réseau : pare-feu, VPN, passerelles. Ces portes d’entrée sont rarement équipées d’outils de détection sur l’hôte.
La tendance de fond est plus parlante encore. Mandiant mesure le délai moyen entre la publication d’une vulnérabilité et sa première exploitation. Il était de 63 jours en 2018-2019, de 5 jours en 2023. Le rapport M-Trends 2026 l’estime désormais à moins sept jours.
Autrement dit : en moyenne, l’exploitation commence avant que le correctif n’existe. Le calendrier de patch mensuel n’est plus un outil de défense. C’est un outil d’hygiène.
Une nuance s’impose, pour éviter le sensationnalisme. Le zero-day reste rare. La plupart des compromissions passent encore par des failles connues et corrigées depuis longtemps.
Lors de la présentation du Panorama 2025, le directeur général de l’ANSSI relevait que plus de 6 000 équipements exposés en France présentaient encore les principales vulnérabilités exploitées en 2023 et 2024.
Le zero-day n’est pas une faille plus grave que les autres. C’est une faille sans mode d’emploi, qui ne laisse aucun temps de préparation.
2. Anatomie d’un samedi : trois leçons d’un cas réel
La vulnérabilité de juillet 2025, baptisée ToolShell, mérite d’être relue en détail. Pas pour désigner une victime ou un éditeur. Pour ce qu’elle enseigne à tous.
Première leçon : un correctif peut être contourné. La faille exploitée le 18 juillet était une variante d’une vulnérabilité corrigée quelques jours plus tôt. Les organisations à jour se croyaient protégées. Elles ne l’étaient pas.
Deuxième leçon : la réponse initiale n’est pas un correctif. Pendant les premières heures, la seule protection disponible était une mesure de configuration. À défaut, la consigne était de couper l’exposition. Une décision métier, pas une opération technique.
Troisième leçon : corriger ne suffit pas. Les attaquants dérobaient des clés cryptographiques du serveur. Installer le correctif sans renouveler ces clés laissait l’accès ouvert. L’agence américaine CISA a fini par recommander de renouveler les clés, d’appliquer le correctif, puis de les renouveler à nouveau.
Le jour même, la CISA inscrivait la faille à son catalogue des vulnérabilités activement exploitées. Délai de remédiation imposé aux agences fédérales : 24 heures. Le délai par défaut de ce catalogue est de deux semaines.
Corriger n’est pas guérir. Un zero-day impose de supposer la compromission, pas seulement de fermer la porte.
3. L’épreuve de vérité : ce que révèlent les premières heures
Dans les premières heures, on ne se pose pas de questions techniques sophistiquées. On se pose des questions simples. Et chacune vérifie une fondation construite, ou non, depuis des mois.
| Question posée à H+1 | Fondation éprouvée | Épisode |
|---|---|---|
| Sommes-nous concernés, et où ? | Cartographie des actifs exposés | 001 |
| Le composant est-il caché dans un produit tiers ? | SBOM vivant, corrélé aux alertes | 008 |
| Nos prestataires sont-ils touchés, et nous préviennent-ils ? | Relation de crise avec les tiers | 038 |
| Qui est joignable ce samedi, et depuis combien d’heures est-il debout ? | Équipes et astreinte soutenables | 012 |
| Peut-on isoler en une heure sans tout casser ? | Automatisation réversible et maîtrisée | 026 |
| Qui a le droit de couper un service métier ? | Gouvernance et délégation | 004 |
L’épisode 001 le formulait sans détour : sans cartographie, impossible de prioriser, impossible de restaurer. Le zero-day ajoute une variante plus brutale : impossible de savoir si l’on est concerné.
L’épisode 008 proposait de faire du SBOM un capteur plutôt qu’un livrable. C’est ici qu’il sert. Google le recommande explicitement face aux zero-days : tenir une nomenclature à jour pour localiser une bibliothèque vulnérable dans tout l’environnement.
Une réponse « je ne sais pas » à l’une de ces six questions coûte des heures. Et les heures sont précisément ce que le zero-day ne laisse pas.
Le zero-day ne crée pas de faiblesse. Il présente la facture de celles qu’on avait.
4. Quand il n’y a rien à installer : quatre réponses possibles
Le NIST, dans sa publication SP 800-40 révision 4, présente la gestion des correctifs comme de la maintenance préventive. Il distingue le correctif de routine, le correctif d’urgence, et la mesure de contournement quand le correctif n’existe pas.
C’est cette dernière catégorie que le zero-day rend centrale. Elle se décline en quatre réponses, à combiner selon l’exposition et la criticité.
Contourner : désactiver la fonction vulnérable, appliquer la configuration recommandée par l’éditeur, filtrer en amont.
Isoler : retirer l’exposition à internet, segmenter, bloquer un port en bordure. Google le recommande quand aucun correctif n’est disponible.
Surveiller et chercher : renforcer la détection sur l’actif, lancer une recherche de compromission sur la période antérieure à l’alerte.
Accepter temporairement : maintenir le service exposé, par décision motivée, datée, révisable, signée par le propriétaire métier.
La quatrième option n’est pas une faiblesse. Elle est parfois la bonne. Elle devient une faute quand elle est implicite, quand personne ne l’a prise mais que tout le monde l’a laissée faire.
| Exposition × criticité | Réponse par défaut | Décideur | Délai cible |
|---|---|---|---|
| Exposé internet, service critique | Isoler ou contourner, puis rechercher la compromission | Directeur de crise, sur délégation | Heures |
| Exposé internet, service non critique | Couper l’exposition sans débat | Responsable de permanence | Immédiat |
| Interne, service critique | Contourner, surveiller, segmenter | RSSI et propriétaire métier | 24 heures |
| Interne, service non critique | Surveiller, corriger au plus tôt | Équipe d’exploitation | Cycle d’urgence |
Quand le correctif n’existe pas, la réponse n’est plus technique. C’est un arbitrage entre continuité de service et exposition au risque.
5. Gouverner les heures critiques : la décision écrite avant la crise
Pourquoi tant d’organisations perdent-elles les premières heures ? Rarement par manque de compétence. Le plus souvent parce que personne n’est autorisé à décider seul de couper un service métier.
Le processus de changement standard exige un comité, une fenêtre, une validation. Il est conçu pour protéger la production. Face à un zero-day, il la met en danger. Google recommande d’ailleurs d’établir à l’avance un circuit de contournement du processus de changement standard.
Le NIST relève un autre obstacle : le décalage entre les métiers et les équipes techniques sur la valeur et l’urgence des correctifs. Ce décalage se règle avant l’incident, pas pendant.
Concrètement, la gouvernance des heures critiques tient en quatre éléments écrits :
Une délégation nominative du droit de couper, avec suppléants, valable hors heures ouvrées.
Des seuils déclencheurs : exploitation confirmée, actif exposé, criticité du service.
Un changement d’urgence pré-autorisé, documenté après coup et revu en comité.
Une rotation d’astreinte réaliste. L’épisode 012 le rappelait : la résilience d’une organisation ne peut pas excéder celle des gens qui la portent.
L’épisode 026 ajoutait une condition. Automatiser l’isolement n’a de sens que si l’action est réversible et que l’équipe sait encore la mener à la main. Un confinement automatique mal calibré peut provoquer l’interruption qu’il voulait éviter.
Ce n’est pas un sujet technique. C’est une délégation de pouvoir, écrite et signée avant la crise.
6. De l’autre côté du miroir : le zero-day devient une obligation
Depuis le 11 septembre 2026, l’article 14 du Cyber Resilience Act s’applique. Tout fabricant d’un produit comportant des éléments numériques, mis sur le marché européen, doit signaler les vulnérabilités activement exploitées.
Le calendrier est serré : alerte précoce sous 24 heures après en avoir eu connaissance, notification complète sous 72 heures, rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective. Le signalement passe par la plateforme unique de l’ENISA, ouverte le jour même.
Deux conséquences méritent l’attention d’un comité de direction.
La première concerne les organisations qui fabriquent, sans toujours le savoir. Une box, une application mobile, un objet connecté, un logiciel vendu à des clients : tout cela entre dans le champ. L’obligation vaut aussi quand la faille se trouve dans un composant tiers intégré au produit.
La seconde concerne tous les autres. Vos fournisseurs ont désormais une obligation de signalement chronométrée. Il devient légitime de leur demander comment ils s’y sont organisés, et sous quel délai vous serez informé.
Pour les entités régulées par NIS 2, la logique est voisine : une alerte précoce sous 24 heures en cas d’incident important. Le zero-day exploité chez soi déclenche souvent les deux horloges.
Le zero-day n’est plus seulement une crise technique. C’est une horloge réglementaire qui démarre dès que vous savez.
7. Se situer : la grille de maturité
| Dimension | Réactif | Structuré | Natif |
|---|---|---|---|
| Exposition | Découverte en lisant l’alerte | Inventaire consulté manuellement | Actifs exposés connus et requêtables en minutes |
| Composants | Inconnus hors éditeur principal | SBOM exigé à l’achat | SBOM corrélé automatiquement aux alertes |
| Décision d’urgence | Recherche d’un décideur pendant la crise | Circuit d’escalade documenté | Délégation nominative, seuils et suppléants signés |
| Sans correctif | Attente de l’éditeur | Contournement au cas par cas | Quatre réponses préparées, dont l’acceptation motivée |
| Après le correctif | Patch installé, incident clos | Vérification de l’installation | Recherche de compromission et rotation des secrets systématiques |
| Obligations | Découvertes après coup | Contacts réglementaires identifiés | Horloges CRA et NIS 2 intégrées au runbook |
| Retour d’expérience | Aucun | Compte rendu technique | Hypothèses révisées et versées au registre (041) |
La plupart des organisations se situent entre les deux premières colonnes. La colonne « Natif » ne demande pas de technologie exotique. Elle demande des décisions prises à froid.
Commencez par la ligne « Décision d’urgence ». C’est celle qui coûte le moins et fait gagner le plus d’heures.
L’ESSENTIEL POUR AGIR
- Rejouer un samedi —
Prenez le cas de juillet 2025 et posez les six questions de la section 3 à votre cellule, sur table, en 90 minutes. Notez chaque « je ne sais pas » et le temps qu’il aurait coûté. C’est votre stress-test (042) appliqué à l’inconnu.
- Faire signer le droit de couper —
Rédigez une délégation nominative : qui peut isoler un service exposé, sur quels seuils, avec quels suppléants, hors heures ouvrées. Faites-la valider par la direction générale. Une page suffit.
- Rendre l’inventaire interrogeable —
Vérifiez que vous pouvez répondre en moins d’une heure à la question « où tournent tel produit et telle bibliothèque, et lesquels sont exposés à internet ? ». Si la réponse passe par un tableur à consolider, le zero-day vous trouvera avant vous.
CONCLUSION
Le zero-day ne teste pas la vitesse de patch. Il teste tout ce qui précède : savoir ce que l’on possède, savoir ce qui le compose, savoir qui décide, et disposer de gens en état de le faire.
Une organisation qui a construit ces fondations ne sera pas épargnée. Elle gagnera des heures, et ces heures font la différence entre un incident et une crise.
Reste une question que la technique ne tranche pas, et que le droit ne tranche qu’en partie. Entre le moment où l’on sait et le moment où l’on peut corriger, que doit-on à ceux qui dépendent de nous ? Les prévenir, au risque d’éclairer l’attaquant ? Se taire, au risque de les laisser exposés ?
La résilience ne consiste pas à ne jamais être surpris. Elle consiste à avoir décidé, avant la surprise, qui agit et comment.
Bibliographie
« Panorama de la cybermenace 2025 » — ANSSI, 11 mars 2026
https://cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2025/
Bilan annuel de l’agence : les équipements de bordure restent une cible privilégiée et leurs compromissions ont fortement mobilisé la réponse à incident, soulignant l’enjeu de la gestion des vulnérabilités. La page renvoie au rapport complet (CERTFR-2026-CTI-002). Appui des sections 1 et 3.
« Look What You Made Us Patch: 2025 Zero-Days in Review » — Google Threat Intelligence Group, 5 mars 2026
https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review
Analyse des 90 zero-days exploités en 2025, dont 48 % visant des technologies d’entreprise. Ses recommandations (SBOM, circuit de changement d’urgence, isolement en l’absence de correctif) fondent les sections 3, 4 et 5. Source d’éditeur, recoupée par les constats de l’ANSSI.
« M-Trends 2026: Data, Insights, and Strategies From the Frontlines » — Mandiant (Google Cloud), mars 2026
https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026
Rapport annuel tiré des investigations de réponse à incident ; il estime le délai moyen d’exploitation à moins sept jours. Source du chiffre central de la section 1. Source d’éditeur.
« Règlement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act) » — Journal officiel de l’Union européenne
https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Texte officiel. L’article 14 fixe le signalement des vulnérabilités activement exploitées (24 heures, 72 heures, 14 jours après la mesure corrective), applicable depuis le 11 septembre 2026. Fonde la section 6.
« SP 800-40 Rev. 4 — Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology » — NIST, avril 2022
https://csrc.nist.gov/pubs/sp/800/40/r4/final
Référence qui traite la gestion des correctifs comme de la maintenance préventive et distingue routine, urgence et contournement. Pointe aussi le décalage entre métiers et équipes techniques. Appui des sections 4 et 5.
« BOD 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities » — CISA, 3 novembre 2021
https://cisa.gov/binding-operational-directive-22-01
Directive qui crée le catalogue des vulnérabilités activement exploitées et fixe un délai de remédiation par défaut de deux semaines, raccourci en cas de risque grave. Éclaire le délai de 24 heures imposé en section 2.