Une vulnérabilité zero-day, c'est une faille exploitée avant même que l'éditeur du logiciel n'en connaisse l'existence. Comprendre comment elles fonctionnent, et surtout comment réduire la fenêtre de risque une fois qu'elles sont rendues publiques.
La faille elle-même — une erreur de conception ou de code, encore inconnue de l'éditeur du logiciel qui en est responsable.
Le code ou la technique qui sait tirer parti de cette faille pour obtenir un accès, exécuter du code, ou voler des données.
L'utilisation réelle de l'exploit contre une cible précise, avant qu'un correctif n'existe — c'est ce dernier moment qui fait les gros titres.
Trois exemples réels, documentés publiquement — chacun consultable dans notre base CVE.
Une simple ligne de log pouvait exécuter du code à distance sur des millions de serveurs utilisant Apache Log4j — l'une des failles les plus critiques et les plus répandues jamais découvertes, tant elle touchait une brique invisible présente dans d'innombrables applications.
Exploitation massive en quelques heures après la publication, bien avant que la majorité des entreprises touchées n'aient même identifié qu'elles utilisaient Log4j.
Un outil de piratage développé par la NSA, exploitant une faille du protocole SMB de Windows, a fuité publiquement — et a été réutilisé quelques semaines plus tard pour propager WannaCry, un ransomware qui a paralysé des hôpitaux, usines et administrations dans plus de 150 pays.
A démontré qu'une faille découverte par un État peut, une fois divulguée, devenir une arme accessible à n'importe quel groupe criminel.
Une injection SQL zero-day dans un logiciel de transfert de fichiers utilisé par des milliers d'organisations a été exploitée par le groupe Cl0p pour voler des données en masse, sans même déployer de ransomware — juste l'extorsion pure.
Un seul fournisseur logiciel compromis a exposé les données de milliers d'entreprises clientes en cascade — l'illustration parfaite du risque de la chaîne d'approvisionnement logicielle.
Aucun outil, chez SunuCyberSecurity ou ailleurs, ne peut détecter une faille zero-day avant qu'elle ne soit connue — par définition, personne ne le peut. Ce que la plateforme fait concrètement, c'est réduire au minimum la fenêtre de risque une fois la faille rendue publique :
La vulnérabilité est la faille elle-même, encore inconnue de l'éditeur du logiciel. L'exploit est le code ou la technique qui sait tirer parti de cette faille. L'attaque zero-day, c'est l'utilisation réelle de cet exploit contre une cible, avant qu'un correctif n'existe. Les trois sont liés mais distincts : une vulnérabilité peut rester zero-day pendant des mois sans qu'aucun exploit ne soit jamais créé.
Parce qu'aucun correctif n'existe encore au moment de l'attaque : les défenses classiques basées sur des signatures connues (antivirus, certains pare-feux) ne les détectent pas. La seule protection réelle vient d'une architecture qui limite les dégâts même en cas de faille inconnue — accès minimal, cloisonnement réseau, surveillance des comportements anormaux.
Trois voies principales : un chercheur en sécurité la signale à l'éditeur de façon responsable (avec un délai avant publication) ; elle est découverte en train d'être activement exploitée dans la nature ; ou elle fuite/est vendue avant toute divulgation coordonnée, comme ce fut le cas pour EternalBlue.
Non, et aucun outil sérieux ne peut le prétendre honnêtement : une faille zero-day est par définition inconnue du monde entier tant qu'elle n'est pas divulguée. Ce que la plateforme fait concrètement, c'est réduire au minimum la fenêtre de risque une fois la faille rendue publique — corrélation CVE en temps réel contre les bases NVD et OSV.dev, alerte immédiate, revalidation en un clic dès qu'un correctif est appliqué.
Ça varie énormément : de quelques heures pour les cas les plus critiques et médiatisés (Log4Shell a eu un correctif en moins de 48h) à plusieurs semaines pour des logiciels moins prioritaires côté éditeur. Le vrai risque, souvent sous-estimé, c'est le délai entre la sortie du correctif et son installation réelle chez chaque entreprise — c'est là que la majorité des dégâts se produisent.
Réduire sa surface d'attaque exposée, appliquer les correctifs dès leur sortie plutôt que des mois après, surveiller en continu les nouvelles CVE touchant sa pile technique, et avoir un plan de réponse déjà prêt plutôt que de l'improviser le jour J.
Un scan gratuit, en quelques minutes, sans carte bancaire.