Une vulnérabilité est une faille exploitable. Il peut s'agir d'un bogue logiciel, d'une erreur de configuration, d'un défaut de conception ou d'une mauvaise habitude humaine. La base de données CVE (Common Vulnerabilities and Exposures) recense les failles logicielles connues grâce à des identifiants uniques. CVE-2021-44228, connue sous le nom de Log4Shell, était une vulnérabilité présente dans une bibliothèque de journalisation largement utilisée. Elle permettait l'exécution de code à distance sur des millions de serveurs. Des attaquants l'ont exploitée quelques heures seulement après sa divulgation. Les correctifs ont été rapidement déployés, mais de nombreux systèmes sont restés vulnérables pendant des mois.

Toutes les vulnérabilités ne sont pas des bogues logiciels. Un serveur avec des identifiants par défaut est vulnérable. Un espace de stockage cloud public est vulnérable. Un employé qui réutilise ses mots de passe est vulnérable. Un réseau non segmenté est vulnérable. La définition est large car la surface d'attaque l'est aussi. Les vulnérabilités sont évaluées à l'aide du système CVSS (Common Vulnerability Scoring System). Le CVSS attribue une note de gravité de 0 à 10 en fonction de l'exploitabilité et de l'impact. 10 correspond à une vulnérabilité critique, 3 à une vulnérabilité faible. Ce score permet de prioriser les correctifs, mais il ne suffit pas à lui seul. Une vulnérabilité critique dans un système isolé est moins problématique qu'une vulnérabilité moyenne dans un serveur exposé à Internet. Le contexte détermine la priorité. La vulnérabilité elle-même ne représente que la moitié du problème. L'autre moitié réside dans la possibilité d'y accéder.

Sources de vulnérabilité

• Bugs logiciels — erreurs de codage permettant l'exploitation
• Mauvaises configurations — paramètres qui affaiblissent la sécurité
• Défauts de conception — faiblesses architecturales
• Facteurs humains — mots de passe faibles, mauvaises habitudes
• Chaîne d'approvisionnement — vulnérabilités des composants tiers

Une vulnérabilité, c'est une porte laissée déverrouillée. Une menace, c'est quelqu'un qui essaie d'ouvrir la poignée. Le risque, c'est ce qui se passe quand cette personne entre.