Selon Rapid7, l’exploitation de failles non corrigées dépasse désormais l’ingénierie sociale comme premier vecteur d’accès initial.
Les failles non corrigées deviennent la première porte d’entrée des attaques
Pas besoin d’un zero-day spectaculaire quand des serveurs exposés utilisent encore des versions vulnérables depuis plusieurs mois.
Deux articles récents reviennent sur le même constat : les attaquants exploitent de plus en plus les vulnérabilités non corrigées pour entrer dans les systèmes.
D’après le rapport du premier trimestre 2026 de Rapid7, l’exploitation de vulnérabilités représente 38 % des incidents traités par ses équipes. Elle passe devant l’ingénierie sociale, à 24 %, et les comptes compromis, à 14 %.
Ces chiffres concernent les incidents observés par Rapid7. Ils ne représentent pas forcément toutes les attaques dans le monde, mais la tendance reste assez claire.
Plus de la moitié des vulnérabilités exploitées seraient des failles réseau sans interaction utilisateur. Un firewall, un VPN, une passerelle ou un service web vulnérable peut donc être attaqué directement, sans avoir besoin de piéger un employé.
Le délai laissé aux administrateurs se réduit aussi. Rapid7 indique que le temps médian entre la publication d’une faille et son ajout au catalogue des vulnérabilités exploitées de la CISA est tombé à environ cinq jours.
Mais toutes les attaques ne reposent pas sur des failles récentes. Des vulnérabilités et techniques vieilles de plusieurs années continuent de fonctionner simplement parce que certaines machines ne sont jamais corrigées.
Le problème n’est donc pas uniquement de suivre les nouveaux zero-days. Il faut aussi retrouver les vieux services exposés, les VPN oubliés, les applications en fin de vie et les machines qui ne reçoivent plus leurs mises à jour.
Pour les administrateurs système et les équipes sécurité, les priorités restent assez basiques :
- inventorier les services accessibles depuis Internet
- appliquer rapidement les correctifs critiques
- supprimer les logiciels et équipements abandonnés
- limiter l’exposition des interfaces d’administration
- surveiller les alertes CISA KEV et CERT-FR
Les attaquants cherchent le chemin le plus simple. Tant qu’une ancienne faille fonctionne sur suffisamment de machines, ils n’ont aucune raison d’arrêter de l’exploiter.
Source : Le Monde Informatique
Source complémentaire : TechRadar
Rapport officiel Rapid7