Une faille zero-day (littéralement « jour zéro ») est une vulnérabilité de sécurité découverte avant que l’éditeur du logiciel concerné – un plugin, un thème, ou WordPress core lui-même – en ait connaissance. Le nom vient du fait que les défenseurs disposent de zéro jour pour s’y préparer une fois qu’elle devient publique ou activement exploitée.
Les deux scénarios d’un zero-day
- Divulgation responsable : un chercheur en sécurité découvre la faille et la signale discrètement à l’éditeur, qui dispose d’un délai pour publier un correctif avant toute divulgation publique – le scénario le moins risqué
- Exploitation active avant divulgation : la faille est découverte et utilisée par des attaquants avant que l’éditeur ou la communauté n’en aient connaissance – le scénario le plus dangereux, car aucune protection ciblée n’existe encore
Pourquoi un zero-day est difficile à anticiper
Par définition, un zero-day n’apparaît dans aucune base de données de CVE avant sa découverte. Un site parfaitement à jour peut donc rester exposé, puisque la mise à jour corrective n’existe simplement pas encore. C’est l’un des rares cas où la seule mise à jour régulière ne suffit pas à garantir une protection complète.
Comment réduire le risque en l’absence de correctif
- Limiter la surface d’attaque : moins un site a de plugins actifs, moins il offre de points d’entrée potentiels à une faille encore inconnue
- Maintenir un WAF à jour, capable de détecter des comportements anormaux même sans signature de faille précise (virtual patching)
- Surveiller en continu plutôt que ponctuellement, pour repérer un comportement inhabituel avant qu’un correctif officiel ne soit disponible
- Appliquer le correctif dès sa publication, sans délai – le passage d’un zero-day à une faille documentée publiquement accélère fortement son exploitation par des bots automatisés
