8/14/2026 • 5 min de lecture
Une attaque zero-day exploite une faille que personne ne connaît encore, ni l’éditeur, ni votre équipe, ni vos outils de sécurité. Pas de signature, pas d’alerte, pas de correctif. Ces derniers mois, la menace a évolué. Les équipements de sécurité sont devenus des cibles privilégiées, tandis que l’IA accélère la recherche et l’exploitation de vulnérabilités. Les attaquants disposent ainsi de moyens toujours plus rapides pour atteindre les systèmes et les données sensibles. Face aux zero-day, détecter et corriger ne suffit plus. La sécurité doit aussi limiter ce qu’un attaquant peut atteindre une fois la faille exploitée. Restreindre les accès, contrôler les droits et protéger directement les données permet de réduire les conséquences d’une compromission, même lorsque l’intrusion n’a pas pu être empêchée.
Le terme zero-day désigne une vulnérabilité découverte ou exploitée alors qu’elle était jusqu’alors inconnue de l’éditeur et qu’aucun correctif n’est encore disponible. Certaines failles peuvent rester présentes pendant des années avant d’être découvertes. Lorsqu’elles commencent à être exploitées avant qu’un correctif existe, elles constituent une menace zero-day.
Log4Shell en est l’un des exemples les plus connus. Cette faille critique dans la bibliothèque Java Log4j était présente depuis 2013, mais n’a été découverte qu’en 2021. Log4j étant intégré à de très nombreux logiciels et services, des millions de systèmes se sont retrouvés vulnérables lors de sa divulgation. Au plus fort de son exploitation, plus de 100 attaques par minute ont été observées selon IBM. Une vulnérabilité restée invisible pendant des années est ainsi devenue en quelques jours une menace à grande échelle.
En 2024, 44 % des zero-day recensés par Google ciblaient des technologies d’entreprise. Parmi ces attaques, 60 % visaient des équipements de sécurité et de réseau, comme les VPN, pare-feu et outils de gestion (GTIG, 2025).
Ces équipements disposent souvent d’accès privilégiés et se trouvent sur le chemin de données sensibles. Leur compromission peut permettre de contourner certains contrôles et d’étendre progressivement les accès bien au-delà du système initialement touché.
L’ANSSI en a documenté un exemple en 2025 avec la campagne « Houken ». Des attaquants ont exploité en chaîne plusieurs failles zero-day d’un équipement d’accès distant pour s’introduire chez des organisations françaises des secteurs gouvernemental, financier, des télécommunications, des médias et des transports. Ils ont exécuté du code à distance, volé des identifiants et exfiltré des données (ANSSI/CERT-FR, 2025).
À retenir. Les pare-feu, VPN et autres équipements de sécurité restent indispensables, mais leur présence ne suffit pas à établir la confiance. Lorsqu’un de ces équipements est compromis, les contrôles appliqués aux accès et aux données doivent continuer à fonctionner indépendamment de cette première barrière.
L’IA accélère la découverte des vulnérabilités. Des failles restées inconnues pendant des années peuvent désormais être recherchées automatiquement et à grande échelle.
En avril 2026, Anthropic a présenté Claude Mythos Preview, un modèle dont les capacités en cybersécurité ont notamment été testées sur la recherche de vulnérabilités. Le mois suivant, l’entreprise indiquait que le modèle, utilisé avec une cinquantaine de partenaires dans le cadre du projet Glasswing, avait permis d’identifier plus de 10 000 vulnérabilités de sévérité élevée ou critique dans des logiciels largement utilisés. Parmi elles, une faille présente depuis 27 ans dans OpenBSD et une autre depuis 16 ans dans FFmpeg.
Une recherche qui mobilisait auparavant des experts pendant des semaines peut désormais être menée beaucoup plus rapidement. Pour les entreprises, le risque est surtout de voir se raccourcir le temps disponible entre la découverte d’une faille et les premières tentatives d’exploitation.
À retenir. L’IA accélère la recherche de vulnérabilités, aussi bien pour les attaquants que pour les défenseurs. Elle peut permettre d’identifier et de corriger plus rapidement certaines failles, mais aussi d’accélérer leur découverte et leur exploitation par des acteurs malveillants.
Une faille inconnue peut permettre à un attaquant de franchir une première protection et d’obtenir un accès au système. Cet accès ne doit cependant pas lui permettre d’atteindre automatiquement les données.
Dans une approche Zero Trust, les contrôles de sécurité se multiplient à mesure que l’on se rapproche des données sensibles. La confiance obtenue à un niveau ne vaut pas pour les suivants et chaque accès reste contrôlé en fonction des droits réellement nécessaires.
Lorsqu’une attaque zero-day permet de contourner une protection, les autres couches continuent donc de limiter la progression de l’attaquant. Même après avoir compromis un équipement ou un compte, il doit encore franchir les contrôles qui protègent directement les données. L’objectif est que la compromission d’une couche ne suffise jamais, à elle seule, à exposer la donnée.
Les zero-day ne vont pas disparaître. Il y aura toujours des vulnérabilités découvertes trop tard pour empêcher leur première exploitation. La sécurité ne peut donc pas reposer uniquement sur la capacité à détecter et corriger les failles à temps.
Lorsqu’un attaquant parvient à obtenir un accès, ce sont les droits associés à cet accès qui déterminent la suite. Plus ils sont limités, moins l’attaquant peut atteindre de données ou progresser dans l’organisation.
On ne peut pas toujours empêcher l’exploitation d’une faille inconnue. On peut en revanche éviter qu’elle donne accès à plus de données que nécessaire.
Si vous voulez en savoir plus sur la mise en œuvre d'une architecture Zero Trust centrée sur la donnée, contactez-nous pour une démonstration.
