Zero-Day (0-Day)

Définition

Une vulnérabilité zero-day (ou 0-day) est une faille de sécurité affectant un logiciel, un firmware ou un matériel, qui n'est pas publiquement connue et pour laquelle aucun correctif n'est disponible au moment de sa découverte. Le terme « zero-day » fait référence au nombre de jours dont dispose l'éditeur pour réagir : zéro. La victime est exposée avant même de savoir qu'elle est vulnérable.

Il convient de distinguer trois notions souvent confondues :

• Vulnérabilité 0-day : la faille elle-même, non corrigée et non divulguée.
• Exploit 0-day : le code opérationnel qui permet d'abuser de cette faille.
• Attaque 0-day : l'utilisation effective de cet exploit contre une cible réelle.

Une fois le correctif publié, la faille devient un n-day (ou 1-day). Elle reste dangereuse : de nombreuses organisations mettent des semaines à déployer les mises à jour, et les attaquants pratiquent le patch diffing pour reconstruire un exploit à partir du correctif en quelques heures.

Fonctionnement technique

Le cycle de vie d'un 0-day suit généralement les étapes suivantes :

• Découverte : par fuzzing (envoi massif d'entrées malformées), rétro-ingénierie, analyse statique de code source ou audit manuel des zones à forte surface d'attaque (parseurs de fichiers, piles réseau, moteurs JavaScript, pilotes noyau).
• Armement : transformation du crash en exécution de code fiable. Cette étape exige de contourner les protections mémoire modernes — ASLR, DEP/NX, CFG, Stack Canaries, PAC sur ARM. Un exploit moderne enchaîne fréquemment plusieurs vulnérabilités en exploit chain : une fuite d'information pour vaincre l'ASLR, une corruption mémoire pour l'exécution, puis une élévation de privilèges pour sortir du bac à sable.
• Livraison : pièce jointe piégée, watering hole, publicité malveillante, ou attaque zero-click exploitant le traitement automatique d'un message entrant.
• Persistance et post-exploitation : installation d'un implant, mouvement latéral, exfiltration.

Les classes de vulnérabilités les plus fréquemment exploitées en 0-day sont le use-after-free, le heap overflow, la type confusion, la désérialisation non sécurisée et les contournements d'authentification sur les équipements de bordure.

Exemples marquants

• Stuxnet (2010) : quatre 0-day Windows enchaînés pour saboter les centrifugeuses iraniennes — l'archétype de l'attaque étatique contre un système industriel.
• EternalBlue / MS17-010 : faille SMBv1 issue de l'arsenal de la NSA, divulguée par les Shadow Brokers, réutilisée par WannaCry et NotPetya.
• Log4Shell (CVE-2021-44228) : injection JNDI dans Log4j, exploitée massivement en quelques heures sur une bibliothèque présente dans des millions d'applications.
• MOVEit Transfer (CVE-2023-34362) : injection SQL exploitée par le groupe Cl0p pour compromettre plus de 2 000 organisations, illustrant le passage du 0-day au service de l'extorsion de masse.
• Pegasus / FORCEDENTRY : chaîne zero-click iOS utilisée par des logiciels espions commerciaux contre journalistes et défenseurs des droits humains.

Marché et acteurs

Un exploit 0-day fiable pour une chaîne complète sur navigateur mobile peut se négocier plusieurs millions d'euros. Trois marchés coexistent :

• le marché blanc — programmes de bug bounty et divulgation coordonnée ;
• le marché gris — courtiers vendant à des agences gouvernementales et éditeurs de logiciels espions ;
• le marché noir — forums criminels alimentant rançongiciels et fraude financière.

Les groupes APT étatiques restent les principaux consommateurs de 0-day, mais les opérateurs de ransomware disposent désormais de moyens suffisants pour en acquérir, ce qui a considérablement raccourci le délai entre découverte et exploitation de masse.

Concepts liés

Le 0-day s'inscrit dans un écosystème plus large : la CVE qui identifie la faille une fois publiée, le score CVSS qui en mesure la gravité technique, l'EPSS qui estime la probabilité d'exploitation réelle, et le catalogue KEV de la CISA qui recense les vulnérabilités activement exploitées. Il se rattache également aux notions de threat intelligence, de supply chain attack et de defense in depth.

Bonnes pratiques défensives

Par définition, on ne peut pas corriger ce qui n'a pas de correctif. La défense repose donc sur la réduction de la surface d'attaque et la détection comportementale :

• Maintenir un inventaire exhaustif des actifs et une SBOM pour identifier en minutes les systèmes concernés lors d'une divulgation.
• Appliquer un patch management accéléré : les n-day causent statistiquement bien plus de dégâts que les 0-day.
• Déployer un EDR/XDR détectant les comportements post-exploitation (injection de processus, élévation de privilèges anormale) plutôt que des signatures.
• Segmenter le réseau et appliquer le Zero Trust et le moindre privilège, pour contenir la compromission initiale.
• Activer les protections d'exécution : sandboxing, listes blanches applicatives, ASR rules, mode « verrouillage » sur les terminaux exposés.
• Surveiller les journaux, conserver des sauvegardes immuables hors ligne et tester régulièrement le plan de réponse à incident.
• Consommer des flux de CTI et le catalogue KEV pour prioriser les correctifs réellement exploités.

La posture réaliste consiste à admettre qu'une compromission par 0-day est possible, et à investir dans la capacité à la détecter rapidement et à en limiter l'impact.