Les 10 Zero-Day qui ont marqué l’histoire :
chronique d’un monde où l’invisible devient arme

Les vulnérabilités informatiques sont nombreuses. Mais certaines, par leur ampleur et leurs conséquences, changent durablement la manière dont nous concevons la cybersécurité. Les zero-day en font partie. Ces failles, exploitées avant même qu’un correctif ne soit disponible, ont un caractère unique : elles révèlent brutalement que la sécurité repose toujours sur une illusion temporaire. Ces dernières années regorgent d’exemples où ces failles invisibles se sont transformées en leviers de bouleversements économiques, politiques et technologiques.

On appelle zero-day une vulnérabilité encore inconnue par son éditeur, ou pour laquelle aucun patch de sécurité n’existe au moment de son exploitation/de sa découverte. La terminologie « zero-day » renvoie à une vulnérabilité inédite : à l’instant « zéro », cette faille est encore inconnue de tous. Et, par un clin d’œil ironique, le jour même où elle est exploitée/découverte, il reste… « zéro jour » pour réagir.

D’un point de vue technique, il s’agit souvent d’erreurs de programmation : dépassements mémoire, absence de contrôles sur des entrées, mauvaises pratiques cryptographiques. Mais la réalité dépasse la technique. Un zero-day n’est pas seulement une ligne de code défaillante : il est l’illustration de la fragilité d’un monde hyperconnecté, où une faille minuscule peut avoir des répercussions mondiales.

La majorité des failles découvertes sont corrigées avant d’être massivement exploitées. Mais certaines se distinguent parce qu’elles combinent trois éléments :

> L’innovation dans l’attaque : une nouvelle méthode ou une surface inédite.
> L’ampleur de la propagation : un effet domino à l’échelle planétaire.
> Les conséquences économiques, politiques ou sociétales : au-delà du code, c’est la confiance dans le numérique qui vacille.

1. Stuxnet (2010). Quand le code devient arme 

En 2010, des centrifugeuses iraniennes tombent en panne. La cause n’est ni mécanique ni humaine : un ver informatique, Stuxnet, conçu pour saboter des automates Siemens, s’introduit via plusieurs zero-day Windows, dont la vulnérabilité LNK.

Pour la première fois, à une telle échelle médiatique, un logiciel a causé des dégâts physiques mesurables. Ce fut une révolution : l’informatique sortait du monde virtuel pour entrer dans la géopolitique. Peut-on encore considérer une centrale nucléaire comme une simple infrastructure technique lorsqu’un code invisible peut en altérer le fonctionnement ? Après lui, les infrastructures industrielles critiques – énergie, transport, eau – ne pouvaient plus être perçues comme inviolables. La communauté internationale a dû intégrer la cybersécurité dans la doctrine de défense nationale.

 2. EternalBlue (2017). L’arme qui s’échappe 

Découverte par la NSA, EternalBlue ciblait le protocole SMB de Windows. Gardée secrète, elle est volée par le groupe Shadow Brokers puis utilisée dans WannaCry et NotPetya. Des hôpitaux paralysés, des multinationales arrêtées, des milliards de pertes.

La leçon : lorsqu’un État conserve pour lui une faille critique, il prend le risque que celle-ci se retourne contre tous. EternalBlue a précipité une prise de conscience mondiale sur la gestion des vulnérabilités dites « stockées » par les agences de renseignement. Il a accéléré les débats sur la divulgation responsable et sur la nécessité pour les États de coopérer plutôt que de conserver ces armes numériques.

3. Heartbleed (2014). Quand Internet perd confiance 

Heartbleed n’était pas un zero-day au sens strict, mais son impact a été équivalent. Une simple erreur dans OpenSSL, utilisé par deux tiers du web, permettait de lire la mémoire des serveurs. Clés privées, données sensibles, tout pouvait fuiter.

L’incident a mis en lumière une réalité troublante : l’infrastructure d’Internet repose souvent sur des briques open source maintenues par très peu de personnes. En réaction, plusieurs programmes de financement et d’audit des projets open source critiques ont été lancés, comme la Core Infrastructure Initiative.

4. Shellshock (2014). Le fantôme des vieilles lignes de code 

Bash, le terminal Unix/Linux, avait plus de 20 ans lorsqu’une faille critique a été découverte. Exploitable en quelques lignes, elle permettait d’exécuter du code arbitraire à distance.

Résultat : des millions de serveurs et d’objets connectés compromis.

Shellshock rappelle que l’héritage technique est une dette. Plus un code vieillit, plus il devient un champ de mines potentiel.

5. Pegasus (2016–2021). L’espionnage à l’ère du smartphone 

Le logiciel Pegasus, développé par NSO Group, a exploité des zero-day iOS et Android pour infecter des smartphones à distance, d’abord via un clic, puis sans aucune interaction. Journalistes, diplomates, politiciens, militants : des milliers de cibles ont été surveillées.

Au-delà de la prouesse technique, Pegasus a transformé la perception de la cybersurveillance en démontrant que la puissance de l’espionnage numérique n’était plus exclusivement étatique, mais pouvait être industrialisée par des acteurs privés. L’affaire a déclenché des enquêtes parlementaires, des tensions diplomatiques et relancé le débat sur la régulation internationale des cyberarmes, marquant un tournant dans la manière dont le monde envisage la souveraineté numérique et la sécurité des communications.

Paradoxalement, si NSO Group a été fragilisé par des sanctions et une mise à l’index internationale, Pegasus a aussi révélé l’efficacité militaire et l’attractivité économique de ce marché discret, où les zero-day deviennent à la fois des armes de puissance et des produits lucratifs.

6. Log4Shell (2021). La faille ubiquitaire 

Découverte fin 2021, la vulnérabilité CVE-2021-44228, plus connue sous le nom de Log4Shell, touchait Log4j, une librairie Java utilisée pour gérer les journaux d’applications. Cette librairie, gratuite et open source, était intégrée dans d’innombrables logiciels – des applications cloud aux services d’entreprise, en passant par des objets connectés.

Le mécanisme d’exploitation était d’une simplicité trompeuse : en envoyant une requête spécialement conçue contenant un appel de type JNDI lookup, l’application vulnérable allait chercher et exécuter du code hébergé à distance. Concrètement, cela donnait à un attaquant la possibilité de prendre le contrôle total du système affecté, sans authentification préalable.

Impact immédiat : en quelques heures, les cybercriminels ont utilisé cette faille pour :

• déployer des ransomwares dans des réseaux d’entreprise,
• installer des mineurs de cryptomonnaie sur des serveurs vulnérables,
• lancer des campagnes d’espionnage numérique.

Log4Shell a révélé de manière brutale le problème de la dépendance logicielle. Des millions de produits embarquaient Log4j sans que leurs utilisateurs, ni parfois même leurs développeurs, en aient conscience.

Résultat : un patching de masse extrêmement complexe, parfois impossible sur certains systèmes embarqués. Cet épisode a agi comme un catalyseur pour des initiatives de type Software Bill of Materials (SBOM), qui visent à cartographier toutes les briques logicielles utilisées dans un produit afin de mieux anticiper de telles crises. Cet épisode illustre une autre facette du numérique : l’interdépendance. Une librairie invisible pour l’utilisateur final peut faire trembler tout l’écosystème. Comment sécuriser un monde où chaque logiciel repose sur une chaîne de dépendances quasi infinie ?

7. Zero-day Chrome (2021–2022). Quand le navigateur devient cible 

Depuis longtemps, Chrome est régulièrement la cible de zero-day exploités activement, en particulier dans son moteur JavaScript V8. A tel point qu’en 2014, l’entreprise a annoncé la création du Project Zero, nom de l’équipe d’experts en sécurité informatique employée par Google et chargée de trouver des vulnérabilités Zero day. En 2021/2022, certaines de ces vulnérabilités ont notamment permis l’exécution de code à distance dans des campagnes d’espionnage contre des journalistes et des dissidents politiques.

Conséquences : elles ont montré que même un outil perçu comme banal – le navigateur web très largement utilisé – pouvait devenir une arme stratégique. Google a multiplié les correctifs d’urgence et généralisé les mises à jour automatiques pour limiter l’impact.
La menace reste constante : en 2025, plusieurs zero-day critiques ont encore été découverts et exploités, dont les CVE-2025-5419, CVE-2025-6554 et CVE-2025-6558, preuve que le navigateur reste une cible privilégiée des attaquants. Comme quoi retenons, naviguer, c’est aussi s’exposer.

8. SharePoint (2025). Quand la collaboration est la porte d’entrée des hackers 

En juillet 2025, une vulnérabilité critique de Microsoft SharePoint (CVE-2025-53770, surnommée ToolShell) a été exploitée par des attaquants pour accéder à des fichiers et services intégrés comme Teams et OneDrive. Plus de 75 serveurs ont été compromis, y compris dans des administrations publiques américaines, avant la publication d’un correctif d’urgence.

Conséquences : cet épisode illustre à quel point les plateformes de collaboration, devenues l’ossature du travail hybride, sont des cibles stratégiques. Leur compromission ne se limite pas à un vol de données isolé : elle ouvre un accès transversal à tout l’écosystème numérique des organisations (messagerie, stockage cloud, communications internes). L’affaire SharePoint 2025 confirme que la surface d’attaque s’élargit avec la transformation digitale et que les environnements collaboratifs, souvent perçus comme des outils de productivité, peuvent devenir des points d’entrée systémiques pour des campagnes d’espionnage ou de sabotage.

9. PrintNightmare (2021). Quand l’imprimante devient cheval de Troie 

Une vulnérabilité du service d’impression de Windows a permis l’exécution de code à distance et la propagation rapide en entreprise.
La symbolique est forte : un service perçu comme trivial a menacé des systèmes entiers. Cela rappelle que la cybersécurité ne se joue pas seulement dans les couches les plus complexes, mais aussi dans les usages quotidiens. En 2021, une vulnérabilité critique du service Windows Print Spooler – utilisé pour gérer l’impression sur tous les systèmes Windows – a été rendue publique par erreur avec un code d’exploitation fonctionnel. Baptisée PrintNightmare, cette faille permettait non seulement l’exécution de code à distance, mais aussi l’élévation de privilèges, offrant à un attaquant la possibilité de prendre le contrôle complet d’une machine.

Le danger venait du fait que le service d’impression est activé par défaut dans la plupart des environnements Windows, qu’ils soient personnels ou professionnels. Dans un réseau d’entreprise, un seul poste compromis suffisait pour propager l’attaque à l’ensemble du domaine Active Directory, en installant des pilotes malveillants sur d’autres machines.

Conséquences : PrintNightmare a mis en lumière deux réalités. D’abord, que des services jugés secondaires (ici, l’impression) peuvent constituer des points d’entrée critiques, parce qu’ils sont omniprésents et rarement surveillés. Ensuite, que la publication précipitée d’informations techniques sans correctif disponible peut amplifier considérablement les risques. Cet épisode a poussé Microsoft et de nombreuses entreprises à restreindre par défaut les privilèges accordés à des services considérés comme « banals », rappelant l’importance du principe du moindre privilège appliqué à toute la chaîne fonctionnelle d’un système.

10. BlueKeep (2019). La faille qui faisait trembler 

Découverte en mai 2019, BlueKeep (CVE-2019-0708) touchait le protocole Remote Desktop Protocol (RDP), utilisé pour accéder à distance aux machines Windows. La vulnérabilité permettait une exécution de code à distance sans authentification, ouvrant la voie à une propagation automatique d’un poste à l’autre, un mécanisme de type wormable, comparable à celui de WannaCry.

La gravité de BlueKeep tenait à sa portée : des millions de machines dans le monde, entre autres Windows XP et Server 2003, systèmes pourtant obsolètes mais encore massivement déployés dans les hôpitaux, administrations et industries.

Face au risque d’une nouvelle pandémie numérique, Microsoft a publié un correctif exceptionnel, même pour ces versions « hors support ». Si la faille a été exploitée de manière limitée, elle a créé un climat de panique : BlueKeep a rappelé que certaines vulnérabilités sont si critiques qu’elles peuvent déclencher une mobilisation mondiale (NSA, NCSC, CISA, etc.) avant même de se transformer en catastrophe effective.

Pris ensemble, ces dix épisodes révèlent plusieurs leçons :

• La cybersécurité est systémique : un maillon faible peut faire chuter la chaîne entière.
• Elle est géopolitique : les failles deviennent des outils de puissance et de surveillance.
• Elle est aussi philosophique : chaque vulnérabilité interroge notre rapport à la confiance, à la dépendance technologique et à la vie privée.

Finalement, un zero-day n’est pas seulement un bug. C’est un révélateur : révélateur de nos vulnérabilités, mais aussi de notre capacité à réagir collectivement.

Ces dix zero-day ne sont pas simplement des histoires techniques. Ils racontent l’évolution d’un monde numérique qui, à mesure qu’il gagne en puissance, gagne aussi en fragilité. Chaque faille est une invitation à l’humilité : aucune technologie n’est infaillible, aucune infrastructure n’est intouchable.

La question demeure : faut-il craindre ces vulnérabilités ou les considérer comme des rappels nécessaires ? Probablement les deux. Car si elles exposent nos failles, elles nous obligent aussi à progresser, à inventer de nouvelles défenses, à renforcer une vigilance collective.

Mais déjà se profile une nouvelle ère, celle où l’intelligence artificielle pourrait à la fois accélérer la découverte des zero-day et leur exploitation. Des algorithmes capables d’analyser des milliards de lignes de code ou de générer automatiquement des scénarios d’attaque changeront l’échelle du problème. Les zero-day pourraient devenir plus fréquents, plus sophistiqués, et se propager plus vite que jamais. La cybersécurité devra alors, elle aussi, s’appuyer sur l’IA pour détecter, anticiper et neutraliser ces menaces.

En définitive, les zero-day sont le miroir de notre époque : une ère où le numérique est vital, où l’IA ouvre de nouvelles perspectives, mais où la sécurité restera toujours un chantier permanent.