Qu'est-ce qu'une vulnérabilité informatique ? Les failles de sécurité expliquées simplement

WindowsMaciPhoneAndroidMis à jour

Le CyberDico de l'ANSSI, l'agence nationale de la sécurité des systèmes d'information, définit une vulnérabilité comme une « faille de sécurité pouvant affecter un logiciel, un système d'information ou encore un composant matériel ». Il ajoute qu'elle peut servir de porte d'entrée à des acteurs malveillants s'ils parviennent à l'exploiter, et que les vulnérabilités sont généralement corrigées par des mises à jour ou des correctifs publiés par les éditeurs. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Une vulnérabilité, ou faille de sécurité, est une faiblesse dans un logiciel, un système ou un matériel qu'un attaquant pourrait exploiter, selon l'ANSSI. Les failles sont trouvées par des chercheurs ou des fournisseurs, signalées à l'organisme responsable, corrigées, puis rendues publiques dans un avis de sécurité. Installer vite les mises à jour, c'est ce qui fait arriver la correction sur vos appareils.

Que veut dire vulnérabilité en sécurité informatique ?

En termes simples, c'est une brèche qui ne devrait pas exister. La définition de l'ANSSI est celle citée plus haut. Pour le mot « faille », son CyberDico précise ce qu'elle permet : porter atteinte au fonctionnement normal d'un système, à la confidentialité ou à l'intégrité des données qu'il contient. L'institut américain des normes, le NIST, donne une définition plus formelle : une faiblesse d'un système d'information, de ses procédures de sécurité, de ses contrôles internes ou de sa mise en œuvre, qui pourrait être exploitée par une source de menace.

D'autres termes reviennent souvent, et l'ANSSI les définit aussi :

  • Vulnérabilité jour zéro (zero-day) : une vulnérabilité qui n'a fait l'objet d'aucune publication ou n'a reçu aucun correctif au moment de son exploitation.
  • N-day : une vulnérabilité pour laquelle un correctif existe, mais n'a pas été déployé par l'utilisateur, ce qui rend son exploitation possible.
  • Exploitée activement : l'exploitation de la vulnérabilité a été observée dans des cyberattaques.

Une vulnérabilité seule n'est donc pas un piratage. C'est une faiblesse qui pourrait servir, et c'est pourquoi les conseils qui suivent une annonce visent à la corriger avant que quelqu'un s'en serve.

Comment les vulnérabilités sont-elles découvertes ?

Le NCSC britannique constate que des vulnérabilités sont découvertes en permanence, et que ceux qui les trouvent veulent pouvoir les signaler directement à l'organisme responsable. L'agence américaine CISA décrit ces personnes comme des chercheurs, des fournisseurs ou d'autres, qui peuvent lui signaler une faille présumée pour qu'elle coordonne la suite.

Le NCSC encourage les organisations à faciliter ce signalement. Sa boîte à outils sur la divulgation des vulnérabilités recommande une voie de contact claire, comme un formulaire web sécurisé, et une politique publiée qui dit à quoi peut s'attendre la personne qui signale. Il décrit aussi security.txt, un petit fichier qu'un site peut publier pour indiquer à qui signaler un problème.

Qu'est-ce que la divulgation coordonnée ?

C'est la façon de faire corriger puis annoncer une faille dans l'ordre. La CISA explique que son programme de divulgation coordonnée vise à diffuser en temps voulu et de façon synchronisée les informations sur une vulnérabilité, avec les mesures de protection quand elles existent, pour que toutes les parties les reçoivent en même temps.

La CISA détaille les étapes : le signalement, la vérification qu'il est fondé et entre dans son champ, la coordination avec le fournisseur pour confirmer la faille, la décision d'attribuer ou non un identifiant CVE, puis la rédaction et la publication d'un avis. Si un fournisseur ne répond pas ou refuse un délai raisonnable de correction, la CISA indique qu'elle peut publier la faille dès 45 jours après sa première tentative de contact, qu'un correctif existe ou non.

Le NCSC décrit le même processus côté organisation : ne pas ignorer un signalement, remercier la personne qui l'a fait, la tenir informée si la correction prend du temps, et la prévenir une fois la faille corrigée.

Comment une vulnérabilité reçoit-elle un nom et un correctif ?

Beaucoup reçoivent un numéro CVE. La CISA décrit le programme CVE (Common Vulnerabilities and Exposures) comme un système reconnu dans le monde entier pour identifier, nommer et cataloguer les vulnérabilités de cybersécurité. C'est pour cela que les avis citent des codes comme CVE-2026-109618. Notre guide CVE et score CVSS explique ces numéros et les notes de gravité.

La correction elle-même arrive le plus souvent par une mise à jour. Cybermalveillance.gouv.fr explique que les éditeurs et les fabricants proposent des mises à jour, ou patchs, pour corriger les failles de sécurité de leurs appareils et logiciels.

Pourquoi les mises à jour comptent-elles ?

Parce que c'est par elles que la correction vous parvient. Cybermalveillance.gouv.fr indique que des failles peuvent permettre à des cybercriminels de prendre le contrôle d'un ordinateur, d'un téléphone ou même d'une montre connectée, et conseille de faire les mises à jour dès qu'elles sont disponibles. Il suggère d'activer le téléchargement et l'installation automatiques quand le logiciel le permet, et de ne télécharger les mises à jour que depuis les sites officiels.

Un appareil finit aussi par ne plus être suivi. Cybermalveillance.gouv.fr rappelle qu'un appareil ou un logiciel qui ne reçoit plus de mises à jour est plus vulnérable, et conseille de vérifier, avant un achat, jusqu'à quand l'éditeur ou le fabricant en publiera.

Que montre PHP2Shell sur les vulnérabilités ?

PHP2Shell est un exemple récent de tout ce cycle. Le 21 octobre 2026, le projet PHP a annoncé deux failles critiques, CVE-2026-109618 et CVE-2026-109619, qui peuvent permettre une exécution de code à distance sans authentification, et a publié des versions corrigées le jour même. Son avis indique que les distributions Linux et les éditeurs de support à long terme ont reçu les correctifs à l'avance, et l'agence japonaise IPA précise que la société de sécurité Wiz a participé à l'étude des failles. Le CERT-FR, le NCSC, la CISA et les autorités japonaises ont ensuite demandé aux organisations de mettre à jour. Au 23 octobre 2026, la CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication. Le détail est dans notre guide sur la faille PHP.

Autres questions

Faille ou vulnérabilité : quelle différence ?

Aucune sur le fond. Le CyberDico de l'ANSSI définit une vulnérabilité comme une faille de sécurité, et une faille comme une vulnérabilité dans un système informatique. Les avis officiels emploient les deux mots, comme l'AlerteCyber de Cybermalveillance.gouv.fr sur les « failles de sécurité critiques dans PHP ».

Une vulnérabilité est-elle un virus ?

Non. La vulnérabilité est la faiblesse, pas l'attaque. Selon l'ANSSI, elle peut servir de porte d'entrée si des acteurs malveillants parviennent à l'exploiter. C'est pourquoi le conseil est de la corriger avant que quelqu'un s'en serve.

Toutes les vulnérabilités sont-elles corrigées ?

Pas toujours rapidement. La CISA indique que si un fournisseur ne répond pas ou refuse un délai raisonnable, elle peut publier une faille après 45 jours, avec ou sans correctif. Un logiciel qui n'est plus maintenu peut ne recevoir aucune correction : PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP.

Que se passe-t-il si mon appareil ne reçoit plus de mises à jour ?

Cybermalveillance.gouv.fr indique que, si les mises à jour ne sont plus proposées, l'appareil ou le logiciel est plus vulnérable, et conseille de prévoir la migration vers des outils maintenus. C'est la même chose pour un logiciel serveur : PHP est-il sûr ? explique le suivi des versions de PHP.

J'ai trouvé une faille sur un site. Comment la signaler ?

Cherchez la politique de divulgation des vulnérabilités de l'organisme, ou son fichier security.txt, que le NCSC recommande aux organisations de publier. Si la faille touche le produit d'un fournisseur plutôt que le site d'un seul organisme, la CISA reçoit les signalements pour coordination sur sa plateforme VINCE-NT.

Sources