Microsoft termine l'année 2024 avec une statistique préoccupante : plus de 1 000 vulnérabilités ont été corrigées via ses fameux Patch Tuesday, dont 22 failles « zero-day » activement exploitées par des cybercriminels.
Le dernier Patch Tuesday de 2024 vient de tomber, et avec lui l'occasion de dresser un bilan de la sécurité Windows sur l'année écoulée. Les chiffres sont plutôt éloquents, peut-on dire : Microsoft a dû colmater pas moins de 1 009 brèches de sécurité cette année. Un chiffre qui n'avait été dépassé qu'une seule fois dans l'histoire des mises à jour mensuelles de l'éditeur, en 2020, avec 1 245 correctifs déployés en année Covid, comme le rappelle la société de sécurité informatique Tenable. Une situation qui illustre en tout cas parfaitement la complexité croissante de la cybersécurité.
Une année sous haute surveillance pour Microsoft
Le volume de vulnérabilités repérées sur les systèmes Microsoft ne cesse d'augmenter depuis 2017, exception faite du pic historique de 2020 dont nous parlions. En moyenne, ce sont 84 failles qui ont été corrigées chaque mois en 2024, avec des pics d'activité notables : 147 correctifs en avril, suivi de deux autres mois dépassant la barre des 100 vulnérabilités, pour un printemps noir.
La grande majorité des failles découvertes (93,6%) ont été classées comme « importantes » par Microsoft, tandis que 5,4% d'entre elles ont reçu le niveau d'alerte maximal « critique », soit plus d'une cinquantaine sur l'année. Les 1% restants correspondent à des vulnérabilités de gravité modérée, aucune n'ayant été considérée comme mineure.
Si l'on zoome un peu plus sur ces failles, l'exécution de code à distance reste la menace principale, puisqu'elle pèse près de 40% des vulnérabilités. Les élévations de privilèges arrivent en seconde position, avec 28,8% des cas, suivies des attaques par déni de service (10%), dites DDoS. Ce tableau confirme, de notre point de vue, la sophistication croissante des techniques d'intrusion.
Les failles zero-day, outils favoris des cybercriminels
Parmi les 1 009 failles corrigées cette année, 22 étaient des vulnérabilités « zero-day ». Pour rappel, ces brèches sont particulièrement dangereuses puisqu'elles sont déjà exploitées par des pirates, avant même leur découverte par Microsoft ou tout autre lanceur d'alerte. Plus d'un tiers de ces zero-day (36,4%) concernaient des élévations de privilèges. Elles permettent aux cybercriminels d'obtenir des droits administrateur sur les systèmes ciblés.
Les groupes de cybercriminels spécialisés dans les ransomwares ont particulièrement ciblé ces failles en 2024. Contrairement aux groupes APT qui privilégient des approches méthodiques et ciblées, ces pirates, plus agiles, optent pour des tactiques plus agressives et opportunistes, en cherchant à se déplacer rapidement au sein des réseaux compromis.
Le dernier Patch Tuesday de l'année, publiée ce mardi 10 décembre, confirme cette tendance, avec notamment la correction d'une vulnérabilité critique dans le pilote Windows Common Log File System (CLFS). Il s'agit de la neuvième faille de ce type corrigée en 2024. Ce composant système Windows, qui permet de journaliser les événements et données d'applications, suscite un intérêt croissant chez les hackers.
Quels défis pour 2025 ?
Les experts de Tenable, spécialisés dans la gestion des vulnérabilités, anticipent une probable augmentation du nombre de failles en 2025. Cette prévision s'appuie en effet sur l'annonce de Microsoft d'étendre l'attribution de références CVE aux vulnérabilités cloud, même lorsqu'aucune action utilisateur n'est requise.
Particulièrement dense, l'écosystème Microsoft, entre services cloud, applications traditionnelles et nouvelles fonctionnalités basées sur l'intelligence artificielle, est évidemment propice à l'exploitation de failles de sécurité. Les surfaces d'attaque potentielles sont toujours plus grandes et exigent donc une vigilance accrue.
Au-delà du simple déploiement des correctifs, c'est toute une approche proactive de la sécurité qui doit être mise en place, ce qui inclut une surveillance continue et une capacité de réaction rapide face aux menaces émergentes.
30 décembre 2024 à 09h35
)
