Exploit zero-day.

Un exploit zero-day transforme une vulnérabilité en arme avant que les défenseurs ne disposent de la moindre mesure d'atténuation officielle. Faute de correctif, de signature et souvent de détail public, même les organisations bien instrumentées peuvent y être aveugles. La fenêtre ne se referme qu'une fois que l'éditeur publie un correctif et que les défenseurs le déploient : jusque-là, l'exploit s'exécute contre l'ensemble des systèmes affectés.

Les zero-days alimentent les intrusions les plus lourdes de conséquences. Stuxnet (2010) a enchaîné quatre zero-days Windows — dont la faille des raccourcis LNK CVE-2010-2568 — pour franchir des réseaux isolés (air-gap) et endommager les centrifugeuses de Natanz. Operation Aurora (2009) a exploité un zero-day d'Internet Explorer (CVE-2010-0249) contre Google et des dizaines d'entreprises. FORCEDENTRY (CVE-2021-30860), découvert par Citizen Lab en 2021, a exploité un dépassement d'entier dans l'analyseur JBIG2 de CoreGraphics d'Apple pour contourner le bac à sable BlastDoor d'iMessage au moyen d'une chaîne zero-click qui installait le logiciel espion Pegasus du groupe NSO. Les chaînes distantes complètes visant les téléphones et navigateurs modernes se négocient auprès de courtiers comme Zerodium et Crowdfense pour des millions de dollars.

flowchart LR
  A[Un chercheur/attaquant découvre la faille] --> B{Divulguée à l'éditeur ?}
  B -->|Non| C[Zero-day : militarisation + exploitation dans la nature]
  B -->|Oui| D[L'éditeur développe un correctif]
  C --> E[L'éditeur finit par apprendre l'exploitation]
  E --> D
  D --> F[Correctif publié]
  F --> G[Les défenseurs déploient : la fenêtre se referme -> N-day]

Parce que la prévention seule ne peut arrêter l'inconnu, la détection s'appuie sur l'analyse comportementale (EDR/XDR), sur des mesures d'atténuation d'exploitation (Intel CET, ARM PAC/MTE, bac à sable), sur des listes blanches d'applications et sur un moindre privilège rigoureux, afin qu'un exploit réussi ne procure que des capacités limitées. Des programmes comme le catalogue des vulnérabilités activement exploitées (KEV) de la CISA accélèrent l'application des correctifs dès qu'un zero-day devient public.