Une faille zero-day est une faille logicielle que des attaquants exploitent déjà avant que l'éditeur du logiciel n'ait publié de correctif. Le nom vient de la position du défenseur : lorsque l'attaque commence, l'éditeur a eu zéro jour pour protéger ses clients. Août 2026 a clairement rappelé comment se déroulent ces attaques, avec une faille Windows exploitée par un groupe soutenu par un État et un serveur de gestion d'impression détourné par des attaquants non authentifiés au cours du même mois.
Cet article explique ce qui s'est passé, qui a été touché, et les mesures concrètes qui réduisent votre exposition à la prochaine faille zero-day, celle que personne ne peut corriger à l'avance.
Ce qui s'est passé en août
Windows : CVE-2026-68820, exploitée par le groupe Lazarus
Le 11 août, la mise à jour de sécurité mensuelle de Microsoft a corrigé environ 400 vulnérabilités. L'une d'elles, CVE-2026-68820, était déjà exploitée. Il s'agit d'une faille de type use-after-free dans afd.sys, le pilote Windows sur lequel repose la pile réseau WinSock. Un attaquant qui a déjà pris pied sur une machine, même avec un compte aux droits limités, peut l'utiliser pour obtenir le contrôle total du système (SYSTEM).
Les chercheurs de Check Point, qui ont signalé la faille, ont attribué son exploitation à Lazarus, le groupe soutenu par l'État nord-coréen. Lazarus l'a utilisée pour installer une nouvelle version de FudModule, son rootkit de niveau noyau, conçu pour désactiver les outils de sécurité depuis les profondeurs du système d'exploitation. L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la faille à son catalogue des vulnérabilités exploitées connues le jour même, et a donné aux agences fédérales américaines jusqu'au 25 août pour appliquer le correctif.
La même mise à jour a également corrigé deux autres failles dont les détails avaient été publiés avant l'existence d'un correctif : CVE-2026-62832 dans le service de profils utilisateur de Windows, qui peut permettre à un utilisateur local d'obtenir des droits d'administrateur, et CVE-2026-72971 dans un pilote de filtrage des conteneurs Windows. Aucune n'a été confirmée comme exploitée, mais la publication de détails réduit le délai avant que les attaquants ne commencent à s'en servir.
PaperCut : prise de contrôle de serveurs d'impression sans authentification
Le 27 août, PaperCut a averti que des attaquants exploitaient une faille jusque-là inconnue dans PaperCut NG et MF, un logiciel de gestion d'impression très répandu dans les écoles, les universités, les collectivités et les entreprises. Cette faiblesse, suivie par la suite sous les références CVE-2026-81578 et CVE-2026-82078, permettait à un attaquant sans identifiants de modifier la configuration du serveur, puis d'y exécuter son propre code.
La société de sécurité Huntress a confirmé une exploitation dans deux environnements clients. Dans l'un d'eux, l'intrusion entière a duré moins de deux minutes : l'attaquant a lancé des commandes de reconnaissance pour profiler le serveur, déposé une petite charge Java, collecté ce qu'il trouvait, puis supprimé ses propres fichiers et le journal de l'application pour effacer ses traces. Huntress a également relevé qu'environ 47 % des quelque 2 500 installations PaperCut qu'elle surveille fonctionnaient en version 23 ou antérieure, pour lesquelles aucun correctif n'était initialement disponible.
PaperCut a immédiatement publié des versions d'urgence pour les versions 25 et 26, et a étendu les correctifs à la version 24 le lendemain.
Pourquoi les failles zero-day concernent toutes les organisations
On pourrait croire que les failles zero-day ne concernent que les États et les grandes entreprises. Le mois d'août a montré le contraire :
- Les cibles étaient des logiciels du quotidien. Windows et un serveur d'impression se trouvent dans presque tous les bureaux. Les attaquants vont là où le parc installé est le plus large.
- Les interfaces d'administration exposées sont la porte d'entrée. Les attaques contre PaperCut n'ont fonctionné que contre des serveurs dont l'interface web était accessible depuis Internet. Beaucoup d'organisations ne se rendent pas compte du nombre de panneaux d'administration qu'elles exposent.
- L'élévation de privilèges transforme une petite intrusion en une intrusion majeure. La faille Windows nécessite un premier accès, qui provient généralement d'un e-mail d'hameçonnage ou d'un mot de passe volé. Une fois à l'intérieur, la faille zero-day transforme un compte aux droits limités en contrôle total.
- Les attaquants effacent leurs traces. Sans surveillance indépendante, des journaux supprimés signifient qu'une victime peut ne jamais savoir ce qui a été dérobé.
Comment vous protéger avant la prochaine
Par définition, on ne peut pas corriger une faille zero-day avant que le correctif n'existe. Ce que vous pouvez faire, c'est réduire le nombre de points d'entrée, limiter les dégâts d'une attaque réussie et raccourcir le délai entre la publication d'un correctif et son installation.
1. Appliquez vite les correctifs dès qu'ils sont disponibles
La plupart des dégâts réels surviennent dans les jours et les semaines qui suivent la publication d'un correctif, le temps que les attaquants l'analysent par rétro-ingénierie. Activez les mises à jour automatiques de Windows, des navigateurs et des téléphones. Pour les serveurs et les applications métier, fixez-vous un objectif : correctifs critiques des systèmes exposés sur Internet sous 48 heures, tout le reste sous 14 jours. Abonnez-vous aux avis de sécurité de vos principaux éditeurs et à la liste des vulnérabilités exploitées connues de la CISA.
2. Retirez les interfaces d'administration d'Internet
Les serveurs d'impression, les outils d'accès à distance, les pare-feu, les routeurs, la vidéosurveillance et les panneaux de contrôle des sites web ne devraient être accessibles à personne depuis Internet. Placez-les derrière un VPN ou limitez-les à des adresses IP connues. Cette seule mesure aurait entièrement bloqué les attaques contre PaperCut.
3. Sachez ce que vous utilisez
Tenez à jour la liste de vos systèmes et des versions de vos logiciels, y compris ceux auxquels personne ne pense, comme la gestion d'impression, les systèmes techniques des bâtiments et les anciens serveurs. On ne peut pas corriger ce que l'on ne sait pas posséder.
4. Supprimez les droits d'administrateur local
Les comptes utilisés au quotidien ne devraient pas être administrateurs. Associée à l'authentification multifacteur sur la messagerie et l'accès à distance, cette mesure rend beaucoup plus difficile l'obtention du premier accès dont dépendent les failles zero-day d'élévation de privilèges.
5. Détectez, ne vous contentez pas de prévenir
Utilisez une solution de détection et de réponse sur les postes de travail (EDR) sur les ordinateurs portables et les serveurs, et envoyez les journaux vers un système distinct que l'attaquant ne peut pas facilement effacer. Surveillez les signaux d'alerte observés en août : des logiciels serveur qui lancent des interpréteurs de commandes, l'apparition de fichiers inattendus dans les dossiers des applications et des journaux qui disparaissent soudainement.
6. Préparez-vous au jour difficile
Conservez des sauvegardes hors ligne ou immuables et vérifiez que vous savez les restaurer. Notez qui vous appellerez et comment vous isolerez les systèmes, avant d'en avoir besoin. Un plan de réponse aux incidents court et répété vaut mieux qu'un long plan jamais testé.
Si vous pensez avoir été touché
Si vous utilisez PaperCut NG ou MF et que son interface web était accessible depuis Internet en août, ne vous contentez pas de mettre à jour et de passer à autre chose. Préservez d'abord les journaux et la configuration du serveur, puis recherchez des fichiers .class inattendus dans le dossier lib du serveur ainsi que des fichiers journaux manquants ou tronqués. Une mise à jour ou un redémarrage peut détruire des preuves dont vous aurez besoin pour comprendre ce qui s'est passé.
Pour Windows, vérifiez que les mises à jour d'août sont installées sur toutes les machines, et pas seulement sur la plupart. Un seul serveur non corrigé suffit.
Notre équipe de réponse aux incidents peut vous aider à rechercher des signes de compromission, à préserver correctement les preuves et à combler les failles. Contactez-nous, ou appelez le +44 7520 644325 à tout moment.
Sources
- BleepingComputer : le Patch Tuesday d'août 2026 de Microsoft corrige 400 failles, dont 3 zero-day (en anglais)
- Help Net Security : Microsoft corrige plus de 400 vulnérabilités, dont une zero-day activement exploitée (en anglais)
- Huntress : faille zero-day PaperCut, exploitation active et exécution de code à distance sans authentification (en anglais)