Ce qui fait d'une vulnérabilité un « zero-day » et pourquoi la fenêtre de correctif compte

Une vulnérabilité zero-day est une faille de sécurité que les attaquants découvrent et exploitent avant que l'éditeur du logiciel n'ait publié un correctif. Le nom vient du fait que les développeurs ont eu zéro jour pour corriger le problème une fois qu'il est connu comme étant activement exploité. Cet écart entre la découverte et le correctif, parfois de quelques heures, parfois de plusieurs semaines, est exactement le moment où les attaquants causent le plus de dégâts, car les défenseurs ne savent pas encore quoi rechercher ni comment le bloquer.

Pour les entreprises britanniques, ce problème de timing est toute l'histoire. Une fois qu'un éditeur publie un correctif, la vulnérabilité cesse d'être un zero-day et devient un risque connu et corrigeable. Les organisations qui subissent des dommages sont généralement celles qui ignoraient qu'un correctif existait ou qui ne l'avaient pas encore appliqué. Des incidents récents le rendent concret : le zero-day Windows suivi sous CVE-2026-68820 était activement exploité avant qu'un correctif ne soit largement déployé, donnant aux attaquants une véritable fenêtre pour agir pendant que les défenseurs se démenaient pour rattraper leur retard.

Ce qu'un VPN peut et ne peut pas faire lors de l'exploitation d'un zero-day

C'est ici que beaucoup de confusion s'installe. Un VPN chiffre la connexion entre votre appareil et Internet, et il masque votre adresse IP aux sites et services auxquels vous vous connectez. C'est réellement utile pour protéger les données en transit, éviter la surveillance sur le Wi-Fi public et ajouter une couche de confidentialité à votre navigation.

Mais un VPN ne corrige en rien une faille dans votre système d'exploitation, votre serveur de messagerie ou votre logiciel d'impression. Si la vulnérabilité réside dans l'application elle-même, chiffrer le trafic réseau qui l'entoure ne ferme pas la brèche. Un attaquant exploitant une faille non corrigée dans, disons, une plateforme de gestion d'impression ou un serveur de messagerie n'a pas besoin d'intercepter votre trafic ; il a juste besoin que le logiciel soit vulnérable et accessible. Un VPN protège le tuyau, pas le logiciel s'exécutant à l'une ou l'autre de ses extrémités.

Cette distinction est importante car il est facile de supposer qu'un abonnement VPN équivaut à une protection complète. Ce n'est pas le cas. C'est une couche parmi tant d'autres, et comprendre où cette couche commence et s'arrête est la première étape vers la construction d'une défense qui tient réellement.

Des zero-days réels qui montrent les limites de toute défense unique

Des cas récents illustrent pourquoi aucun outil unique, VPN ou autre, ne peut remplacer la correction et la surveillance. Le zero-day PaperCut a forcé un correctif d'urgence après que des chercheurs ont confirmé l'exploitation active du logiciel de gestion d'impression utilisé dans les écoles, les entreprises et les agences gouvernementales. À peu près au même moment, le groupe connu sous le nom de Laundry Bear a été pris en train d'exploiter une faille jusqu'alors inconnue dans Outlook Web Access de Microsoft Exchange pour mener des activités d'espionnage, et un zero-day Windows distinct a été exploité par des pirates liés à la Corée du Nord dans des attaques ciblées.

Aucun de ces incidents n'impliquait une défaillance de VPN. Ils impliquaient des failles logicielles qui existaient indépendamment de la manière dont la victime se connectait à Internet. Un VPN fonctionnant en arrière-plan n'aurait pas empêché un attaquant d'atteindre un serveur exposé et non corrigé ou d'exploiter une faille dans une application installée localement. Ces cas rappellent que les attaquants s'en prennent à toute porte non verrouillée, et de plus en plus, cette porte est un logiciel spécifique plutôt que la connexion réseau elle-même.

Adopter une approche de défense en profondeur

La conclusion pratique pour les entreprises britanniques est qu'aucun contrôle unique, y compris un VPN, ne peut remplacer une stratégie en couches. Cette stratégie devrait inclure une gestion rapide des correctifs afin que les corrections soient appliquées dès que les éditeurs les publient, une surveillance continue pour détecter les tentatives d'exploitation avant même qu'un correctif n'existe, une segmentation du réseau pour limiter jusqu'où un attaquant peut se déplacer s'il entre, et un VPN utilisé spécifiquement pour ce qu'il fait bien : sécuriser l'accès à distance et protéger les données en transit.

L'ampleur du problème souligne pourquoi cela importe. Selon le rapport sur les violations de données du premier semestre 2026 de l'Identity Theft Resource Center, le nombre de victimes de violations de données a déjà dépassé les centaines de millions rien que cette année, et les failles logicielles non corrigées sont un thème récurrent derrière bon nombre de ces incidents.

Ce que cela signifie pour vous

Si vous dirigez une entreprise ou gérez l'informatique pour l'une d'elles, traitez les vulnérabilités zero-day comme un problème de correctifs et de surveillance d'abord, et un problème de sécurité réseau ensuite. Maintenez à jour les inventaires logiciels, abonnez-vous aux avis de sécurité des éditeurs et priorisez les correctifs pour les systèmes exposés à Internet. Utilisez un VPN pour ce pour quoi il est conçu : sécuriser les connexions à distance et protéger la confidentialité, et non comme substitut aux mises à jour.

Points clés à retenir

  • Une stratégie de protection VPN contre les vulnérabilités zero-day n'a de sens que dans le cadre d'un plan plus large ; un VPN ne peut pas corriger un logiciel vulnérable.
  • Corrigez rapidement et surveillez l'exploitation, car la fenêtre de danger se referme une fois les correctifs appliqués et déployés.
  • Des incidents réels impliquant Windows, Exchange et des logiciels de gestion d'impression montrent que les attaquants ciblent directement les failles logicielles, indépendamment du chiffrement réseau.
  • Combinez gestion des correctifs, surveillance, segmentation et utilisation d'un VPN pour une véritable défense en profondeur plutôt que de vous fier à un seul outil.