Les vulnérabilités de sécurité répertoriées dans la base de données CVE (Common Vulnerabilities and Exposures) constituent un enjeu majeur pour la cybersécurité mondiale. Mon analyse se concentre sur un ensemble de CVE particulièrement critiques, car elles ont été exploitées dans le cadre d’attaques par rançongiciels / ransomware ou d’opérations d’espionnage informatique.
Répartition par année :
– 2010-2014 : 114 CVE (12.8%) 🛫
– 2015-2019 : 226 CVE (25.3%) ✈
– 2020-2024 : 552 CVE (61.9%) 💥
Complexité d’exploitation (Score CVSS):
– Faible : 35%
– Moyenne : 45%
– Élevée : 20%
Cela souligne l’importance cruciale pour les organisations d’appliquer rapidement les correctifs de sécurité, car même les vulnérabilités apparemment moins complexes peuvent représenter un risque significatif.
Top 10 des CVE les plus exploitées dans ce contexte :
> CVE-2021-44228 (Log4Shell) : 23 groupes d’attaquants 😝
> CVE-2015-7645 : 22 groupes d’attaquants
> CVE-2015-5119 : 21 groupes d’attaquants
> CVE-2013-2551 : 20 groupes d’attaquants
> CVE-2015-8651 : 19 groupes d’attaquants
> CVE-2014-0515 : 18 groupes d’attaquants
> CVE-2016-4117 : 18 groupes d’attaquants
> CVE-2022-1388 : 17 groupes d’attaquants
> CVE-2022-22947 : 17 groupes d’attaquants
> CVE-2013-0074 : 16 groupes d’attaquants
Répartition des CVE par fournisseur/technologie :
* Microsoft : 25.7% 💾
* Autres : 22.1%
* Adobe : 18.3%
* Oracle Java : 9.6%
* Apache : 7.2% 🕸
* Fortinet : 4.5%
* Citrix : 3.8%
* VMware : 3.2% 🖥
* F5 : 2.9%
* Pulse Secure : 2.7%
Types de vulnérabilités les plus fréquentes :
– Exécution de code à distance : 38.4%
– Élévation de privilèges : 22.7%
– Dépassement de tampon : 12.9%
– Injection de code : 9.6%
– Contournement d’authentification : 8.3%
– Divulgation d’informations : 5.7%
– Déni de service : 2.4%
Évolution des tendances par période :
2010-2014 :
– Forte présence de vulnérabilités Java et Adobe Flash
– Émergence des vulnérabilités liées aux navigateurs web
2015-2019 :
– Pic des vulnérabilités Adobe Flash et Microsoft Office
– Augmentation des vulnérabilités liées aux serveurs web
2020-2024 :
– Forte augmentation des vulnérabilités liées aux services cloud et VPN
– Persistance des vulnérabilités Windows et Office
– Émergence de vulnérabilités critiques comme Log4Shell
Analyse des délais de correction 🚑 :
– Délai moyen entre la découverte et la publication : 45 jours
– 15% des CVE ont été exploitées avant la publication d’un correctif
– 30% des CVE ont été corrigées dans les 7 jours suivant leur découverte
Impact sur les secteurs d’activité :
– Secteur financier : 28% (pensez à DORA)
– Secteur de la santé : 22% (pensez à HDS)
– Secteur gouvernemental : 19% (pensez à NIS2)
– Industrie manufacturière : 15%
– Éducation : 10%
– Autres : 6%