Le mot désigne au départ le nombre de jours dont disposent les défenseurs pour se préparer : aucun. Quand une faille zero-day est utilisée, l’éditeur n’a pas encore publié de correctif, souvent parce qu’il ignore lui-même le problème. Mettre à jour son site ne sert donc à rien à ce stade : il n’existe pas encore de version sûre à installer.
Vulnérabilité, exploit, attaque : trois mots à distinguer
On parle indifféremment de « faille zero-day », d’« exploit zero-day » ou d’« attaque zero-day », alors que ce sont trois choses différentes :
- la vulnérabilité est l’erreur dans le code (un contrôle d’accès oublié, une donnée non filtrée) ;
- l’exploit est le programme ou la requête qui tire parti de cette erreur ;
- l’attaque est l’utilisation de cet exploit contre de vrais sites. Le NIST la définit comme une attaque qui exploite une vulnérabilité matérielle ou logicielle jusque-là inconnue.
Dès que le correctif est publié, la faille n’est plus une zero-day au sens strict. Les spécialistes parlent alors de faille « n-day » : elle est connue, documentée, souvent dotée d’un identifiant CVE, mais encore présente sur tous les sites qui n’ont pas fait la mise à jour. C’est cette seconde période qui provoque la plupart des piratages de masse, car un exploit public est bien plus facile à industrialiser qu’une découverte gardée secrète.
Un exemple dans l’écosystème WordPress
En juin 2023, l’extension d’inscription Ultimate Member permettait à n’importe quel visiteur de créer un compte doté de capacités arbitraires, donc un compte administrateur. L’enregistrement CVE-2023-3460, publié par WPScan, précise que la faille était activement exploitée. Les premières versions correctives étaient incomplètes et il a fallu attendre la 2.6.7 pour la fermer : la chronologie de cette faille Ultimate Member montre bien à quoi ressemble une zero-day vue depuis un site WordPress.
Pour savoir si une faille est réellement exploitée, et pas seulement théorique, l’agence américaine CISA tient le catalogue KEV (Known Exploited Vulnerabilities). Elle n’y inscrit une faille que si trois conditions sont réunies : un identifiant CVE, des preuves fiables d’exploitation réelle et une mesure de correction claire. En France, le CERT-FR publie des alertes de sécurité pour les dangers immédiats et des avis de sécurité pour les vulnérabilités et leurs parades.
Comment limiter les dégâts sans correctif
Aucune mesure ne garantit l’immunité face à une faille que personne ne connaît encore. L’objectif est de réduire la probabilité d’être touché et de raccourcir le temps de réaction :
- Moins de code, moins de failles. Supprimez les extensions et thèmes inutilisés, même désactivés.
- Filtrer en amont. Un pare-feu applicatif bloque certaines familles d’attaques par leur forme, même sans connaître la faille précise ; dès qu’elle est publiée, un correctif virtuel peut la neutraliser avant la mise à jour.
- Limiter les droits. Peu de comptes administrateurs, double authentification, et des permissions de fichiers strictes pour qu’une intrusion reste confinée.
- Détecter vite. Surveillez les nouveaux comptes et les fichiers modifiés : le contrôle d’intégrité de WP Masquerade compare chaque jour les fichiers du cœur aux empreintes de wordpress.org, ce qui signale une compromission après coup sans bloquer l’attaque elle-même.
- Pouvoir revenir en arrière. Des sauvegardes selon la règle 3-2-1, testées, restent le dernier filet.
Pour WordPress : réagir le jour où l’alerte tombe
Quand une faille activement exploitée touche une extension que vous utilisez et qu’aucune version corrigée n’existe, les options sont simples : désactiver ou supprimer l’extension si le site peut s’en passer, sinon s’appuyer sur une règle de pare-feu et surveiller de près. Dès que le correctif sort, installez-le sans attendre la mise à jour hebdomadaire. Pour être prévenu à temps, il faut une source d’alertes fiable : notre méthode de surveillance des vulnérabilités compare les bases disponibles.
Erreurs fréquentes
- Appeler « zero-day » toute faille critique : une faille corrigée depuis six mois n’en est plus une, elle est simplement non corrigée chez vous.
- Croire qu’un site à jour est hors de danger : c’est nécessaire, mais une zero-day vise justement les versions les plus récentes.
- Penser qu’un petit site n’intéresse personne : les exploits sont lancés automatiquement sur tous les sites qui utilisent l’extension visée.