Un lundi matin, l’équipe réseau d’une ETI découvre que son pare-feu périmétrique a été compromis pendant le week-end. Le correctif n’existait pas encore au moment de l’intrusion. Ce scénario, autrefois réservé aux grandes administrations ou aux groupes du CAC 40, touche désormais des structures de toutes tailles. Les failles zero day ne sont plus un sujet de conférence abstraite, elles se traduisent par des tickets d’incident concrets, des plans de remédiation en urgence et des arbitrages budgétaires douloureux.
Équipements réseau et appliances de sécurité : les nouvelles cibles zero day
Google Threat Intelligence Group a constaté qu’en 2025, près de la moitié des zero days exploités ciblaient des technologies d’entreprise, en particulier les produits de sécurité et les équipements réseau exposés à Internet. Les navigateurs web et les postes de travail ne concentrent plus l’essentiel des attaques.
Pare-feu nouvelle génération (NGFW), passerelles VPN SSL, appliances de messagerie : ces composants sont devenus des cibles prioritaires. Leur position en bordure de réseau leur confère un accès direct aux flux internes, ce qui les rend plus rentables pour un attaquant qu’un simple poste utilisateur.
Pour les responsables informatiques, la conséquence est immédiate. On ne peut plus considérer un équipement de sécurité comme une zone de confiance par défaut. Chaque appliance exposée devient une surface d’attaque à surveiller, à segmenter et à patcher avec la même rigueur qu’un serveur applicatif critique.
Fenêtre d’exploitation des vulnérabilités zero day : quand le délai devient négatif
Le temps dont dispose une équipe IT entre la publication d’un correctif et l’exploitation active d’une faille se réduit d’année en année. Plusieurs analyses publiées en 2025 et 2026 décrivent des cas où des vulnérabilités sont exploitées avant même la publication d’un patch. Le délai de réaction ne se compte plus en semaines, parfois plus en jours.
En pratique, cela signifie que le cycle classique « alerte CERT, qualification, test en préprod, déploiement en production » ne tient plus dans tous les cas. Certaines équipes doivent appliquer des mesures de contournement (désactivation d’un service, restriction d’accès réseau) avant même de disposer du correctif officiel.
Ce que ça change dans l’organisation d’une DSI
Le processus de patch management doit intégrer un mode dégradé. On parle de playbooks spécifiques aux zero days, distincts des cycles de mise à jour mensuels. L’objectif n’est pas de tout patcher en temps réel, c’est irréaliste. Il s’agit de prioriser par exposition réelle :
- Identifier les actifs directement accessibles depuis Internet (interfaces d’administration, portails VPN, API publiques) et les traiter en priorité absolue
- Maintenir un inventaire à jour des versions firmware et logicielles de chaque appliance périmétrique, pour réduire le temps de qualification quand un bulletin tombe
- Préparer des procédures de mitigation rapide (coupure d’accès, bascule sur un chemin réseau alternatif) applicables sans attendre le correctif éditeur
Les retours varient sur ce point selon la taille de l’équipe et le nombre d’équipements, mais le principe reste le même : anticiper la réaction plutôt que compter sur la vitesse de l’éditeur.
Failles connues vs zero day : où se situent les vraies pertes
On pourrait créditer les failles zero day de la majorité des incidents graves. Les données du rapport Arctic Wolf 2025 montrent le contraire. Les intrusions reposent principalement sur un nombre réduit de vulnérabilités déjà documentées et patchables, les fameuses N-day. Les zero days arrivent loin derrière dans les causes d’incident observées sur le terrain.
Ce constat ne diminue pas la gravité d’un zero day quand il frappe. Il recadre les priorités. Un responsable informatique qui consacre la totalité de son budget sécurité à la détection de menaces inconnues, tout en laissant traîner des correctifs Microsoft vieux de six mois, se trompe d’allocation.
Arbitrage budgétaire : corriger l’existant avant de chasser l’inconnu
La pression médiatique autour des zero days peut fausser la perception du risque réel. En réunion de direction, le terme « zero day » fait réagir. Un backlog de correctifs non appliqués, beaucoup moins. Pourtant, le risque cumulé des failles connues non corrigées dépasse celui des zero days dans la majorité des environnements.
L’hygiène de base reste le levier le plus rentable : gestion rigoureuse des correctifs, réduction de la surface d’exposition, segmentation réseau. Les solutions de détection avancée (EDR, NDR, threat intelligence) viennent en complément, pas en remplacement.
Sécurité périmétrique et zero day : repenser la confiance accordée aux équipements
Les architectures réseau traditionnelles accordent une confiance implicite aux équipements situés en bordure. Un pare-feu, par nature, est censé protéger. Quand c’est lui qui est compromis, la chaîne de confiance s’effondre.
Plusieurs cas documentés ces deux dernières années montrent des attaquants utilisant des zero days sur des appliances de sécurité pour pivoter directement vers l’Active Directory ou les bases de données internes. L’équipement de protection devient le vecteur d’intrusion principal.
La réponse opérationnelle passe par une segmentation stricte, y compris des interfaces d’administration des équipements de sécurité eux-mêmes. On isole la console de management du pare-feu sur un VLAN dédié, on restreint l’accès SSH ou HTTPS aux seules adresses IP des administrateurs, on journalise chaque connexion.
- Désactiver les interfaces de gestion accessibles depuis Internet, sauf nécessité absolue documentée
- Appliquer le principe du moindre privilège aux comptes d’administration des appliances réseau
- Superviser les connexions sortantes inhabituelles depuis les équipements périmétriques, signe fréquent de compromission silencieuse
Ces mesures ne bloquent pas un zero day. Elles limitent ce qu’un attaquant peut en faire une fois la faille exploitée, et c’est souvent là que se joue la différence entre un incident contenu et une compromission totale du système d’information.
La gestion des failles zero day passe par une révision de la confiance accordée à chaque composant et par une capacité de réaction rapide même sans patch disponible. Les vulnérabilités connues non corrigées restent, dans les faits, la première porte d’entrée des attaquants, et leur traitement conditionne la solidité de tout le dispositif.
