Failles & 0-days : les détecter à temps

Une faille publiée aujourd'hui peut être exploitée en masse dès ce soir. Le délai médian entre divulgation et exploitation est de quelques heures. La seule défense réaliste : le savoir vite.

CVE, CVSS, 0-day : de quoi parle-t-on ?

Une CVE est une faille répertoriée publiquement. Son score CVSS (de 0 à 10) mesure sa gravité. Un 0-day est une faille très récente, parfois sans correctif au moment de sa publication. Le Moniteur surveille ces publications sur l'ensemble des CMS (WordPress, Joomla, Drupal, PrestaShop) via la base officielle NVD, et les rapproche des composants détectés sur votre site.

La nuance qui change tout : le privilège requis

Toutes les failles ne se valent pas. Le Moniteur affiche pour chacune son niveau d'accès :

• Sans authentification — exploitable par n'importe qui sur Internet. À traiter en priorité absolue.
• Compte requis — il faut un compte ; risque réel surtout si les inscriptions sont ouvertes.
• Admin requis — dangereux seulement si un compte administrateur est faible ou compromis.

Cette distinction vous évite de paniquer pour une faille « admin requis » de score moyen, tout en réagissant vite sur une faille « sans authentification » en CVSS 10.

Classé par gravité, prêt à l'action

Chaque faille est rangée en critique, majeur, modéré ou mineur, avec sa description et sa date. Vous voyez d'un coup d'œil ce qui compte. Et si l'un de vos plugins est concerné, l'alerte part immédiatement.