RadioCSIRT – Votre actu cybersécurité du vendredi 12 décembre 2025 (Ép.515)

Bienvenue sur votre podcast quotidien consacré à la cybersécurité.

Le MITRE publie l’édition 2025 du Top 25 des faiblesses CWE, fondée sur l’analyse de 31 770 vulnérabilités CVE observées dans des environnements réels. Ce classement identifie les faiblesses structurelles les plus fréquemment exploitées, indépendamment des produits ou éditeurs, et constitue un référentiel stratégique pour les équipes CERT, SOC et les directions SSI.

Le classement confirme la persistance de faiblesses historiques telles que CWE-79 Cross-Site Scripting et CWE-89 Injection SQL, révélant des défaillances continues dans la gestion des entrées/sorties, la séparation des données et des commandes, et la sécurisation du cycle de développement applicatif. Malgré la maturité des frameworks modernes, ces faiblesses restent massivement exploitables, notamment dans les applications legacy, les portails métiers et les composants tiers.

L’édition 2025 met également en évidence la montée des faiblesses liées aux contrôles d’autorisation, avec CWE-862 Missing Authorization parmi les premières positions. Cette catégorie reflète des erreurs de logique métier côté serveur, souvent invisibles pour les scans automatisés, mais critiques en termes d’accès non autorisé, de fraude et d’abus de privilèges.

Les vulnérabilités mémoire demeurent fortement représentées, avec CWE-787 Out-of-Bounds Write, CWE-416 Use-After-Free et CWE-125 Out-of-Bounds Read. Ces faiblesses restent centrales dans les chaînes d’exploitation avancées, en particulier sur les composants natifs, navigateurs, bibliothèques système, firmware et appliances réseau, malgré les mécanismes modernes de protection mémoire.

Les faiblesses de type injection de commandes et de code, notamment CWE-78 OS Command Injection et CWE-94 Code Injection, conservent un impact critique, conduisant fréquemment à des compromissions complètes des systèmes affectés. Elles sont encore observées dans des scripts d’administration, des outils internes et des environnements industriels.

Enfin, le classement 2025 souligne une tendance structurelle forte : la majorité des vulnérabilités exploitées repose sur des erreurs fondamentales connues, documentées depuis plus de dix ans, traduisant une dette technique, organisationnelle et de gouvernance plutôt qu’un déficit d’outillage.

Pour les équipes CERT et SOC, le Top 25 CWE 2025 constitue un outil de priorisation stratégique, à intégrer dans les audits applicatifs, les revues de conception, les analyses post-incident et la gouvernance SSI, afin d’agir sur les causes racines plutôt que sur les seuls symptômes.

On ne réfléchit pas, on patch !

Sources :
Article d’analyse – Marc Frédéric Gomez :
https://blog.marcfredericgomez.fr/top-25-des-failles-cwe-2025/

MITRE – CWE Top 25 2025 :
https://cwe.mitre.org/top25/

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : https://www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com