Rapport Google : davantage de vulnérabilités zero-day impactent les entreprises

Comment les exploits zero-day font évoluer les menaces de sécurité des entreprises

Ce qu’il faut retenir

• Les vulnérabilités de type zero-day impactent de plus en plus les entreprises, le nombre et la proportion de technologies affectées ayant atteint des niveaux records en 2025.
• La moitié des attaques zero-day ciblant les entreprises visaient des logiciels de réseau et de sécurité, soulignant le changement de stratégie des pirates, dont l’intérêt se porte désormais vers des infrastructures critiques.
• Les systèmes d’exploitation constituaient la catégorie de produits la plus exploitée, représentant 44 % de l’ensemble des vulnérabilités zero-day, tandis que les navigateurs représentaient moins de 10 %.
• L'exploitation de masse est en augmentation, suggérant que les adversaires étatiques deviennent de plus en plus habiles à développer et à distribuer des exploits rapidement.

Une analyse du Google Threat Intelligence Group (GTIG) portant sur 90 vulnérabilités zero-day effectivement exploitées en 2025 suggère que les cybercriminels concentrent davantage leurs attaques sur des cibles d’entreprise plus lucratives.

La quantité brute (43) ainsi que la proportion (48 %) de vulnérabilités affectant les technologies d’entreprise ont atteint des niveaux records, représentant près de 50 % de l’ensemble des vulnérabilités zero-day exploitées en 2025. Parmi ces vulnérabilités, environ la moitié (21) ciblait spécifiquement des logiciels de réseau et de sécurité.

Le rapport indique également que les systèmes d’exploitation, qu’ils soient de bureau ou mobiles, ont été la catégorie de produits la plus exploitée en 2025, représentant 44 % (39) de toutes les vulnérabilités zero-day. Les navigateurs, en revanche, ont représenté moins de 10 % des exploitations zero-day en 2025. Cependant, plusieurs échappements de sandbox de navigateurs ont été découverts, chacun étant spécifiquement conçu pour exploiter des composants du système d’exploitation sous-jacent ou du matériel utilisé.

Par ailleurs, l’exploitation massive des vulnérabilités s’est intensifiée. Cela suggère que des adversaires agissant pour le compte d’États sont devenus de plus en plus habiles à développer, partager et diffuser des exploits.

Évolution des tactiques et techniques

Dans l’ensemble, le rapport du GTIG indique que l’exploitation des applications d’entreprise continuera de représenter une part importante de ces attaques, alors que la diversité des applications déployées élargit la surface d’attaque que les équipes de cybersécurité doivent défendre, tandis que les adversaires adoptent l’intelligence artificielle (IA) pour découvrir et exploiter les vulnérabilités plus rapidement.

De plus, les tactiques et techniques utilisées par les adversaires semblent également évoluer. Par exemple, le rapport mentionne une campagne de malware BRICKSTORM, attribuée à un groupe d’espionnage affilié à la République populaire de Chine, qui ciblait la propriété intellectuelle, notamment le code source et des documents de développement propriétaires. Cette propriété intellectuelle pourrait être utilisée pour découvrir des vulnérabilités dans les logiciels afin de cibler ensuite les clients en aval.

Du côté positif, l’IA devrait permettre aux défenseurs de découvrir les vulnérabilités de manière plus proactive et, si nécessaire, de concevoir, tester et déployer des correctifs, selon le rapport.

Vecteurs d'attaque courants

Le plus souvent, les exploitations zero-day sont principalement utilisées pour exécuter du code à distance, suivies par l’élévation de privilèges. L’injection de commandes et les techniques de désérialisation, qui consistent à convertir des données structurées en objet ou structure de données utilisable par un programme, ont été des vecteurs critiques dans les environnements d’entreprise. Les acteurs malveillants continuent également de s’appuyer sur la corruption de mémoire, qui représentait 35 % des vulnérabilités.

D’autres vecteurs d’attaque courants incluent le contournement des mécanismes d’authentification et d’autorisation, ainsi que des exploits ciblant des failles de logique et de conception fréquemment présentes dans les appliances d’entreprise.

De manière générale, le rapport du GTIG conseille aux équipes de cybersécurité d’utiliser des firewalls permettant une segmentation intégrée et des contrôles d’accès basés sur le principe du moindre privilège afin de contrer davantage ces attaques. En outre, elles devraient investir dans des outils d’observabilité et de surveillance afin de détecter des intrusions qui, à ce stade, sont quasiment inévitables.

Les équipes de cybersécurité devraient également maintenir une nomenclature logicielle (SBOM) afin de faciliter l’identification des bibliothèques logicielles affectées en cas d’attaque.

Comme l’a dit un jour Willie Sutton, les criminels braquent les banques parce que c’est là que se trouve l’argent. Cette logique s’applique désormais aux organisations informatiques d’entreprise à l’ère du numérique.