En fonction des autorités de numérotation CVE, les pratiques d’association de vulnérabilités à des faiblesses logicielles peuvent varier.

Le phénomène n’a en soi rien de nouveau. Cependant, avec l’augmentation du nombre d’autorités produisant de tels mappings, il a une influence de plus en plus importante sur des projets aval. Parmi eux, le Top 25 CWE de MITRE.

Dans l’édition 2025, fraîchement publiée, l’organisation américaine affirme à quel point il pourrait être « instructif » d’étudier les pratiques de ces autorités. D’autant plus au vu de ce qui a été constaté chez l’une des plus « prolifiques ». En l’occurrence, une tendance à associer des vulnérabilités (CVE) à la fois à des faiblesses logicielles (CWE) de bas niveau et de haut niveau, entraînant une surreprésentation de ces dernières. Par exemple, CWE-74 (neutralisation inadéquate d’éléments spéciaux dans une sortie utilisée par un composant aval), à la fois « parent » de CWE-89 (injection SQL), de CWE-79 (XSS), de CWE-78 (injection de commande système) et de CWE-94 (injection de code).

Première utilisation d’un LLM pour le Top 25 CWE

Pour cette édition, le dataset initial comprenait 39 080 CVE publiées entre le 1^er juin 2024 et le 1^er juin 2025.

MITRE a collecté des mappings réalisés par des autorités de numérotation ou ajoutés par la CISA après publication des CVE. Il a également tenu compte de mappings aval d’analystes de la NVD (National Vulnerability Database, rattachée au NIST).

Une analyse automatisée a permis d’identifier les mappings susceptibles d’être modifiés notamment parce que trop abstraits ou trop différents de mappings précédents contenant des mots-clés similaires.

Les mappings soumis à réévaluation concernaient 9468 CVE (24 % du total), publiées par 281 autorités.

Pour la première fois, MITRE a employé un LLM – ancré sur le corpus des CWE et entraîné sur des mappings – pour examiner ce sous-ensemble. Si ses suggestions n’ont pas toujours été suivies, il a « semblé déduire des associations potentielles que des analystes humains auraient probablement manquées faute de temps ou d’expertise ».

Sur ces 9468 CVE, 2459 ont effectivement fait l’objet d’un retour de la part des autorités de numérotation. Le reste a été soumis à une autre analyse. C’est là qu’a été découverte la pratique sus-évoquée.

Une normalisation qui rebat (un peu) les cartes

Quatre CWE auparavant jamais classées dans le Top 25 font leur entrée cette année. Elles sont repérables par la mention N/A dans le tableau ci-dessous. Il s’agit du dépassement de tampon « classique », du dépassement de pile, du dépassement de tas et du contrôle d’accès inadéquat.

Un changement dans la méthodologie y a contribué. Jusqu’alors, avant d’établir le classement (fondé sur la fréquence des CWE et sur la sévérité des CVE associées), les mappings étaient normalisés selon une nomenclature qu’utilise traditionnellement la NVD. Cette nomenclature se limite à 130 CWE. Les CVE qui ne peuvent pas être associées à une entrée sont, au possible, associées au plus proche parent (« ancêtre »). Sinon, on retire les mappings.

Pour la première fois, MITRE a utilisé les mappings tels quels, sans effectuer cette normalisation. Il en résulte, nous affirme-t-on, une image « plus fidèle ».

Ce choix a probablement aussi contribué à faire sortir plusieurs CWE du Top 25. On peut le penser, entre autres, pour CWE-269 (gestion inadéquate des privilèges), qui passe de la 15^e à la 29^e place. Sans normalisation, elle a 219 CVE associées. Avec, elle en aurait en 633. Il en est potentiellement allé de même pour CWE-400 (consommation de ressources non contrôlée ; passée de la 24^e à la 32^e place), CWE-798 (utilisation d’authentifiants codés en dur ; de 22^e à 35^e) et CWE-119 (restriction inadéquate d’opérations dans les limites d’un tampon mémoire ; de 20^e à 39^e).

Le top 25 des vulnérabilités logicielles en 2025

Rang	Identifiant	Nature	Évolution 2024-2025
1	CWE-79	XSS (Cross-Site-Scripting ; neutralisation inadéquate d’entrée lors de la génération de page web)	=
2	CWE-89	SQLi (Injection SQL ; neutralisation inadéquate d’éléments spéciaux utilisés dans une commande SQL)	+ 1
3	CWE-352	CSRF (Client-Side Request Forgery ; une web ne vérifie pas suffisamment si une requête a été intentionnellement fournie par son auteur)	+ 1
4	CWE-862	Autorisation manquante	+ 5
5	CWE-787	Écriture hors limites	– 3
6	CWE-22	Traversée de répertoire (neutralisation inadéquate d’éléments spéciaux dans un chemin d’accès, menant vers un emplacement non autorisé)	– 1
7	CWE-416	UAF (Use After Free ; réutilisation d’une zone mémoire après sa libération)	+ 1
8	CWE-125	Lecture hors limites	– 2
9	CWE-78	Injection de commande système	– 2
10	CWE-94	Injection de code	+ 1
11	CWE-120	Dépassement de tampon « classique » (copie d’un tampon d’entrée vers un tampon de sortie sans vérifier que la taille du premier ne dépasse pas celle du second)	N/A
12	CWE-434	Téléversement non restreint de fichiers dangereux	– 2
13	CWE-476	Déréférencement de pointeur NULL	+ 8
14	CWE-121	Dépassement de pile	N/A
15	CWE-502	Désérialisation de données non fiables	+ 1
16	CWE-122	Dépassement de tas	N/A
17	CWE-863	Autorisation incorrecte	+ 1
18	CWE-20	Validation inadéquate d’entrée	– 6
19	CWE-284	Contrôle d’accès inadéquat	N/A
20	CWE-200	Exposition de données sensibles à un acteur non autorisé	– 3
21	CWE-306	Authentification manquante pour une fonction critique	+ 4
22	CWE-918	SSRF (Server-Side Request Forgery ; le serveur web ne vérifie pas suffisamment que la requête est envoyée à la destination attendue)	– 3
23	CWE-77	Injection de commande	– 10
24	CWE-639	Contournement d’autorisation via une clé contrôlée par l’utilisateur	+ 6
25	CWE-770	Allocation de ressources sans limites ou plafonnement	+ 1

L’an dernier, la méthodologie avait déjà évolué. Pour limiter les mappings abusifs, MITRE avait donné davantage de poids aux autorités de numérotation pour les réviser. Peu avaient toutefois répondu à la sollicitation, d’où une progression potentielle, voire une entrée, dans le Top 25, de CWE de haut niveau.

The post Top 25 des faiblesses logicielles : le casse-tête méthodologique de MITRE appeared first on Silicon.fr.

La cybercriminalité ne dort jamais. Et il serait illusoire d’espérer une amélioration l’an prochain, d’autant que les attaques pilotées par l’IA continueront d’accentuer la pression. Dans ce contexte, Gigamon, leader de l’observabilité avancée, a identifié cinq grandes tendances pour 2026 que les experts IT et cybersécurité devraient surveiller de près. Tribune. 1. La prévention ne […]

The post Gigamon présente 5 tendances de la cybersécurité pour 2026 : la visibilité devient un facteur critique first appeared on UnderNews.

L’année 2025 a été marquée par une pression constante sur les environnements industriels, avec une complexification croissante des menaces mondiales. Le Kaspersky Security Bulletin révèle que la proportion de systèmes de contrôle industriels (ICS) ciblés par des malwares est restée significative, autour de 21,9% au T1 2025, avant de baisser légèrement à 20% au T3 […]

The post Kaspersky ICS CERT, la branche de recherche en cybersécurité industrielle de Kaspersky, partage ses tendances et perspectives pour le secteur en 2026 first appeared on UnderNews.

68% des employés qui utilisent des outils comme ChatGPT ou d’autres IA génératives le font à l’insu de leurs responsables directs ou sans en informer leur DSI. Tout comme le shadow IT, le shadow IA consiste à utiliser des outils technologiques sans l’approbation de la DSI. En se passant des processus internes d’approbation et de […]

The post SHADOW IA : Comment sécuriser votre SI face à l’IA invisible first appeared on UnderNews.

La cybercriminalité ne dort jamais. Et il serait illusoire d’espérer une amélioration l’an prochain, d’autant que les attaques pilotées par l’IA continueront d’accentuer la pression. Dans ce contexte, Gigamon, leader de l’observabilité avancée, a identifié cinq grandes tendances pour 2026 que les experts IT et cybersécurité devraient surveiller de près. Tribune. 1. La prévention ne […]

The post Gigamon présente 5 tendances de la cybersécurité pour 2026 : la visibilité devient un facteur critique first appeared on UnderNews.

L’année 2025 a été marquée par une pression constante sur les environnements industriels, avec une complexification croissante des menaces mondiales. Le Kaspersky Security Bulletin révèle que la proportion de systèmes de contrôle industriels (ICS) ciblés par des malwares est restée significative, autour de 21,9% au T1 2025, avant de baisser légèrement à 20% au T3 […]

The post Kaspersky ICS CERT, la branche de recherche en cybersécurité industrielle de Kaspersky, partage ses tendances et perspectives pour le secteur en 2026 first appeared on UnderNews.

68% des employés qui utilisent des outils comme ChatGPT ou d’autres IA génératives le font à l’insu de leurs responsables directs ou sans en informer leur DSI. Tout comme le shadow IT, le shadow IA consiste à utiliser des outils technologiques sans l’approbation de la DSI. En se passant des processus internes d’approbation et de […]

The post SHADOW IA : Comment sécuriser votre SI face à l’IA invisible first appeared on UnderNews.

— Permalink

— Permalink

Microsoft vise plus large avec son programme bug bounty.

Le voilà désormais susceptible d’indemniser la découverte de failles dans des dépendances. Il s’engage plus précisément à récompenser les signalements de vulnérabilités critiques qui touchent directement ses services en ligne indépendamment de la provenance du code concerné – si ce dernier n’est pas déjà couvert par un bug bounty.

Autre évolution : tous les services en ligne de Microsoft sont maintenant inclus par défaut, sans restriction de périmètre. Cela vaut aussi pour les nouveaux services, dès leur publication.

Ces règles s’appliquent depuis le 11 décembre 2025. Elles sont rétroactives sur 90 jours.

Les vulnérabilités Hyper-V, potentiellement les plus lucratives

Le programme de bug bounty englobait déjà les composants tiers (ouverts ou propriétaires), mais inclus dans les services Microsoft.

Aux dernières nouvelles, les récompenses peuvent monter jusqu’à 100 000 $ pour les vulnérabilités qui affectent des services d’identité (compte Microsoft, ADD et certaines implémentations d’OpenID). C’est 60 k$ pour Azure ; 30 k$ pour Copilot ; 20 k$ pour Azure DevOps, Dynamics 365/Power Platform et l’API Defender for Endpoint ; 19,5 k$ pour Microsoft 365 ; 15 k$ pour .NET Core/ASP.NET Core et pour certains dépôts open source de Microsoft.

Sur la partie endpoints et on-prem, on atteint 250 k$ pour Hyper-V ; 100 k$ sur Windows Insider Preview ; 30 k$ sur Edge ; 15 k$ sur Microsoft 365 Insider.

En 2023 comme en 2024, le montant total des récompensés distribuées a avoisiné 17 M$, répartis à chaque fois entre un peu moins de 350 chercheurs.

À consulter en complément :

Microsoft 365 : un vol de données assisté par Copilot
ToolShell, cette faille SharePoint qui s’est construite en plusieurs temps
Project Zero (Google) change sa politique de divulgation de vulnérabilités
Roni Carta (Lupin & Holmes) : « Avec la cybersécurité offensive, notre objectif est de lutter contre les failles de la supply chain logicielle »

Illustration générée par IA

The post Microsoft ouvre son bug bounty au code tiers appeared first on Silicon.fr.

Aéroports bondés et longs retards : les voyageurs sont des cibles faciles sur les réseaux Wi-Fi publics ; des experts en cybersécurité partagent 3 mesures de sécurité. Pour éviter d’être espionnés ou de se faire voler leurs comptes, les voyageurs devraient désactiver les connexions réseau automatiques, éviter d’utiliser le Wi-Fi public pour les transactions financières et utiliser […]

The post Bloqués dans les aéroports ? Des experts en cybersécurité partagent 3 conseils de sécurité pour le Wi-Fi public first appeared on UnderNews.

Aéroports bondés et longs retards : les voyageurs sont des cibles faciles sur les réseaux Wi-Fi publics ; des experts en cybersécurité partagent 3 mesures de sécurité. Pour éviter d’être espionnés ou de se faire voler leurs comptes, les voyageurs devraient désactiver les connexions réseau automatiques, éviter d’utiliser le Wi-Fi public pour les transactions financières et utiliser […]

The post Bloqués dans les aéroports ? Des experts en cybersécurité partagent 3 conseils de sécurité pour le Wi-Fi public first appeared on UnderNews.

La récente panne de Cloudflare semble être due au déploiement dans l’urgence d’un patch correctif pour se protéger de la faille React2Shell. Tribune – Shachar Menashe, VP Security Research chez JFrog, nous explique les enseignements à en tirer : « La chaîne logistique des logiciels peut être un mécanisme complexe composé de multiples éléments et d’outils […]

The post Panne de Cloudflare : « Quels enseignements en retenir? » par JFrog first appeared on UnderNews.

La récente panne de Cloudflare semble être due au déploiement dans l’urgence d’un patch correctif pour se protéger de la faille React2Shell. Tribune – Shachar Menashe, VP Security Research chez JFrog, nous explique les enseignements à en tirer : « La chaîne logistique des logiciels peut être un mécanisme complexe composé de multiples éléments et d’outils […]

The post Panne de Cloudflare : « Quels enseignements en retenir? » par JFrog first appeared on UnderNews.

Quand un attaquant arrive à rebondir des postes utilisateurs vers les serveurs puis les sauvegardes, ce n’est plus une faille, c’est un boulevard réseau. Mettre en place un cloisonnement strict, surveiller les flux internes et tester régulièrement les règles change ce scénario en parcours d’obstacles pour toute intrusion. En cybersécurité, il ne suffit plus de […]

L’article Sécurité réseau : cloisonnement et protection en cybersécurité… <br/><em>Mounir Ait Bahadda, Provectio</em> est apparu en premier sur InformatiqueNews.fr.

Dans l’imaginaire collectif, la cybersécurité évoque encore des salles obscures remplies de serveurs, des lignes de code à perte de vue et des ingénieurs penchés sur des écrans clignotants. En réalité, le danger se trouve souvent bien plus près, parfois à un simple clic. Et les PME, longtemps persuadées d’être trop modestes pour attirer les […]

The post Cybersécurité en PME : Pourquoi la sécurité est l’affaire de tous first appeared on UnderNews.

Dans l’imaginaire collectif, la cybersécurité évoque encore des salles obscures remplies de serveurs, des lignes de code à perte de vue et des ingénieurs penchés sur des écrans clignotants. En réalité, le danger se trouve souvent bien plus près, parfois à un simple clic. Et les PME, longtemps persuadées d’être trop modestes pour attirer les […]

The post Cybersécurité en PME : Pourquoi la sécurité est l’affaire de tous first appeared on UnderNews.

Industrie 4.0, objets connectés et systèmes embarqués deviennent des terrains de jeu privilégiés pour les cyberattaquants. Entre capteurs intelligents, robots autonomes et usines hyperconnectées, la surface d’attaque explose. Pour éviter la compromission, il faut miser sur une stratégie 360° mêlant durcissement matériel, supervision avancée et gouvernance cyber modernisée. La forte exposition aux cyberrisques des acteurs […]

L’article La nécessaire vigilance des systèmes OT/IOT et embarqués… <br/><em>Pierre Nicolas, Scassi</em> est apparu en premier sur InformatiqueNews.fr.

La période des fêtes est un moment très intense pour tous et les cybercriminels le savent. Tandis que les entreprises se concentrent sur la clôture de l’exercice financier et que les employés sont occupés par les vacances et les achats de cadeaux, les pirates planifient leurs attaques ciblées. Sören Schulte, expert en sécurité des e-mails […]

The post Cybermenaces : cinq conseils pour améliorer la sécurité des e-mails en entreprise pendant les fêtes de fin d’année first appeared on UnderNews.

L’Inde renonce à imposer l’app Sanchar Saathi sur tous les smartphones, révélant les tensions entre cybersécurité d’État, vie privée et puissance des géants du numérique....