Zero Day : la faille que personne ne voit venir (et comment s'en protéger)
Mis à jour le 24/06/2026 par Adrien Vialatte
Un zero day, c'est le scénario cauchemar de la cybersécurité : une vulnérabilité dans un logiciel, connue des attaquants, mais pas encore du fabricant. Selon le rapport annuel de Google Project Zero, le nombre de zero days exploités activement dans la nature a atteint 97 failles en 2023 — un record. Le temps entre la découverte par un attaquant et l'attaque réelle ? Zéro jour. D'où le nom.
Qu'est-ce qu'un zero day exactement ?
Un zero day (ou 0-day) est une vulnérabilité de sécurité dans un logiciel, un système d'exploitation ou un firmware qui est inconnue de son éditeur au moment où elle est exploitée. La définition est simple, les conséquences, elles, ne le sont pas.
Le terme "zéro jour" fait référence au nombre de jours que le développeur a eu pour corriger le problème : zéro. L'éditeur n'a pas encore produit de patch correctif, ce qui signifie que tous les utilisateurs du logiciel concerné sont potentiellement exposés — sans le savoir, sans pouvoir agir.
Il faut distinguer trois notions souvent confondues :
- La vulnérabilité zero day : la faille elle-même, inconnue de l'éditeur.
- L'exploit zero day : le code ou la méthode technique qui permet d'exploiter cette faille.
- L'attaque zero day : l'acte malveillant qui utilise cet exploit sur des cibles réelles.
À noter que la durée de vie moyenne d'un zero day non découvert par son éditeur est estimée à 6,9 ans selon une étude de la RAND Corporation (Ablon & Bogart, 2017). Autrement dit, une faille peut exister dans votre logiciel depuis des années sans que personne du côté du fabricant ne le sache.
---
Comment fonctionne une attaque zero day ?
Une attaque zero day suit une chaîne d'événements précise : découverte de la faille, développement d'un exploit, déploiement ciblé — souvent avant toute détection.
Voici comment ça se passe concrètement :
1. La découverte Un chercheur en sécurité (ou un acteur malveillant) identifie une vulnérabilité dans un logiciel. Cette découverte peut être le fruit de semaines d'analyse de code, de fuzzing automatisé, ou d'un achat sur un marché noir.
2. Le développement de l'exploit Une fois la faille identifiée, il faut créer le code qui va l'exploiter. Ce travail peut prendre de quelques jours à plusieurs mois selon la complexité de la faille et l'accès que l'attaquant cherche à obtenir (exécution de code à distance, escalade de privilèges, vol de données...).
3. Le déploiement L'exploit est utilisé contre des cibles. À ce stade, l'éditeur du logiciel n'est toujours pas au courant. Les vecteurs d'attaque les plus courants sont :
- Les e-mails de phishing avec pièces jointes piégées
- Les sites web compromis (drive-by download)
- Les applications tierces malveillantes
- Les attaques directes sur des serveurs exposés
La fenêtre d'exposition entre la découverte d'une faille par un attaquant et sa correction par l'éditeur dure en moyenne 68 jours selon le rapport Mandiant 2023 — et pendant tout ce temps, chaque utilisateur du logiciel est une cible potentielle.
---
Qui découvre et vend ces failles ?
Le marché des zero days est à la fois légal, gris et totalement souterrain selon les acteurs impliqués.
Il existe trois grandes catégories de découvreurs :
| Type d'acteur | Motivation | Destination de la faille |
|---|---|---|
| Chercheurs indépendants | Bug bounty, réputation | Éditeur du logiciel (divulgation responsable) |
| Brokers spécialisés | Profit financier | Gouvernements, agences de renseignement |
| Hackers malveillants | Profit, espionnage, sabotage | Marchés noirs, groupes criminels |
Du côté des programmes de bug bounty (la voie légale), des entreprises comme Google, Microsoft ou Apple paient les chercheurs qui leur signalent des failles — mais les montants, bien que croissants, restent très inférieurs aux prix du marché noir. Google Project Zero a versé plus de 12 millions de dollars de récompenses depuis 2010, un chiffre qui illustre à la fois l'ampleur du problème et l'effort consenti.
Ce que je trouve particulièrement troublant dans ce marché, c'est son caractère dual-use : les mêmes failles servent à la fois aux services de renseignement pour leurs opérations légitimes et aux groupes criminels pour leurs attaques. Il n'existe aucune garantie que la faille achetée par une agence d'État ne finisse pas par fuiter.
---
Quels sont les exemples célèbres de zero day ?
Les attaques zero day les plus marquantes de l'histoire ont ciblé des infrastructures critiques, des entreprises du Fortune 500 et des millions d'utilisateurs ordinaires.
Stuxnet (2010) — Le cas d'école. Ce ver informatique, attribué aux États-Unis et Israël, a utilisé quatre zero days simultanément pour cibler les centrifugeuses d'enrichissement nucléaire iranien. Un niveau de sophistication qui n'avait jamais été vu et qui a redéfini la notion de cyberguerre.
EternalBlue (2017) — Cette faille dans le protocole SMB de Windows, développée par la NSA et volée par le groupe Shadow Brokers, a servi de base aux ransomwares WannaCry et NotPetya. En 72 heures, WannaCry avait infecté plus de 200 000 systèmes dans 150 pays (Europol, 2017).
Log4Shell (2021) — Techniquement une vulnérabilité devenue publique très rapidement, Log4Shell a mis en évidence la fragilité des dépendances open source. La bibliothèque Log4j était présente dans des dizaines de milliers d'applications. L'ANSSI française avait immédiatement classé la menace au niveau maximal.
FORCEDENTRY (2021) — Développé par NSO Group et utilisé pour déployer le spyware Pegasus, cet exploit ciblait Apple iMessage. Il ne nécessitait aucune interaction de la victime (attaque "zero-click") — simplement recevoir un message suffisait pour compromettre un iPhone. (Citizen Lab, 2021)
Ces exemples illustrent un point crucial : les zero days ne touchent pas que les grandes entreprises ou les gouvernements. Quand WannaCry a frappé, des hôpitaux britanniques ont dû annuler des milliers d'opérations. La cybersécurité n'est plus une affaire de geeks en hoodie — c'est une question de santé publique.
Pour aller plus loin sur les attaques informatiques et leurs mécanismes, vous pouvez consulter notre guide sur les différents types de malwares et comment les identifier sur i-novice.net.
---
Comment se protéger contre un zero day ?
Se protéger à 100% contre un zero day est impossible — par définition, vous ne savez pas ce qu'il faut bloquer. Mais vous pouvez réduire drastiquement votre exposition avec les bonnes pratiques.
La stratégie de défense en profondeur repose sur plusieurs couches complémentaires :
Mettez à jour immédiatement et sans exception C'est la règle n°1. Quand un éditeur publie un patch, c'est souvent parce qu'une faille a été découverte — parfois déjà exploitée. Chaque jour sans mise à jour après une publication de correctif est un jour de vulnérabilité inutile. Activez les mises à jour automatiques sur tous vos appareils.
Réduisez la surface d'attaque Moins vous avez de logiciels installés, moins vous avez de failles potentielles. Désinstallez ce que vous n'utilisez pas. Désactivez les fonctionnalités inutiles (macros Office, ActiveX, Flash si vous avez encore ça quelque part).
Adoptez le principe de moindre privilège N'utilisez pas un compte administrateur pour votre usage quotidien. Si un exploit s'exécute avec vos droits d'utilisateur standard, les dégâts sont limités. S'il s'exécute en admin, c'est le chaos.
Utilisez une solution EDR, pas juste un antivirus classique Les antivirus basés sur les signatures sont aveugles face aux zero days (puisque la signature n'existe pas encore). Les solutions EDR (Endpoint Detection and Response) analysent les comportements suspects — un programme qui tente d'accéder à la mémoire d'un autre processus, par exemple — et peuvent bloquer une attaque inconnue sur la base de son comportement anormal.
Segmentez votre réseau Si un attaquant pénètre via un zero day sur une machine, la segmentation réseau l'empêche de se propager latéralement. C'est particulièrement critique en environnement professionnel.
Sauvegardez selon la règle 3-2-1 Trois copies, sur deux supports différents, dont une hors site (ou dans le cloud). Si un zero day déclenche un ransomware, vous perdez du temps mais pas vos données.
"La question n'est pas de savoir si vous serez compromis, mais quand. La résilience — la capacité à détecter et récupérer rapidement — est aussi importante que la prévention." — Mikko Hyppönen, Chief Research Officer chez F-Secure (2023)Pour les professionnels, je recommande aussi de consulter régulièrement les bulletins de l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), disponibles sur ssi.gouv.fr, qui publie des alertes en temps réel sur les vulnérabilités critiques affectant les logiciels courants.
Mon avis après usage
J'ai eu l'occasion de tester plusieurs solutions EDR grand public ces dernières années — SentinelOne, CrowdStrike Falcon Go, et les offres intégrées comme Microsoft Defender for Business. La différence avec un antivirus classique est réelle, notamment sur la détection comportementale. Mais le vrai défi reste humain : la mise à jour automatique désactivée "parce que ça redémarre le PC au mauvais moment", le macro Excel gardé actif parce que "le fichier du comptable en a besoin". La meilleure technologie ne compense pas les mauvaises habitudes.
Si vous êtes un particulier, commencez simple : mises à jour automatiques, authentification à deux facteurs partout, et un gestionnaire de mots de passe. Ce n'est pas une protection contre les zero days ciblés, mais ça élimine 95% des risques auxquels vous êtes réellement exposé.
Pour approfondir votre stratégie de sécurité numérique au quotidien, notre article sur les bonnes pratiques de cybersécurité pour les particuliers sur i-novice.net vous donnera une base solide.
---
Questions fréquentes
Q: Qu'est-ce qu'un zero day en cybersécurité ? R: Un zero day est une faille de sécurité dans un logiciel inconnue de son éditeur au moment où elle est exploitée. L'éditeur a eu "zéro jour" pour la corriger, d'où le nom. Ces vulnérabilités sont particulièrement dangereuses car aucun correctif n'existe encore.
Q: Comment savoir si mon système a été victime d'une attaque zero day ? R: La détection est difficile car les zero days laissent peu de traces connues. Des signes suspects incluent des comportements inhabituels du système, des connexions réseau inattendues, des fichiers modifiés sans raison, ou des alertes de votre solution EDR. Un audit de sécurité professionnel reste la méthode la plus fiable.
Q: Les zero days concernent-ils uniquement les grandes entreprises ? R: Non. Si les attaques les plus sophistiquées ciblent des gouvernements ou des infrastructures critiques, les exploits finissent souvent par se démocratiser. WannaCry a touché des PME, des hôpitaux et des particuliers. Tout logiciel populaire est une cible potentielle.
Q: Peut-on acheter légalement des zero days ? R: Oui, il existe un marché légal — notamment des brokers comme Zerodium qui revendent des exploits à des agences gouvernementales pour des opérations de renseignement légitimes. Les programmes de bug bounty permettent aussi aux chercheurs de vendre légalement leurs découvertes directement aux éditeurs.
Q: Combien de temps faut-il à un éditeur pour corriger un zero day une fois alerté ? R: Cela varie enormément. Les grands éditeurs comme Microsoft ou Google visent 90 jours (délai standard de divulgation responsable). En pratique, des patchs d'urgence peuvent sortir en 24-48h pour les failles critiques, mais certaines vulnérabilités complexes prennent plusieurs mois à corriger complètement.
Q: Un VPN protège-t-il contre les zero days ? R: Non, pas directement. Un VPN chiffre votre connexion réseau mais ne protège pas contre une faille dans votre navigateur, votre système d'exploitation ou vos applications. C'est un outil de confidentialité, pas un bouclier contre les exploits.
---
Adrien Vialatte — Rédacteur tech indépendant à Lyon. Après dix ans en agence de communication digitale, il consacre sa plume aux outils, à la sécurité numérique et aux tendances tech pour un public curieux mais non-expert.