Publié le 15 décembre 2025 10:49:00. La société MITRE a dévoilé sa liste annuelle des 25 failles logicielles les plus critiques, un outil essentiel pour les développeurs et les équipes de sécurité confrontés à une menace cybernétique en constante évolution. Ce classement, basé sur l’analyse de près de 39 080 vulnérabilités connues, met en lumière les points faibles les plus exploités et les plus dangereux des systèmes informatiques.
- Les scripts intersites (XSS) restent la menace numéro un, suivis de près par l’injection SQL et la falsification de requêtes intersites.
- De nouvelles vulnérabilités, telles que les dépassements de tampon et les problèmes de contrôle d’accès, font leur entrée dans le Top 25.
- Les experts soulignent l’importance croissante des failles liées à l’authentification et à la gestion des identités dans le paysage actuel des applications SaaS et de l’intelligence artificielle.
La liste CWE Top 25, établie par MITRE, une organisation à but non lucratif spécialisée dans la sécurité informatique, est un baromètre essentiel pour comprendre les risques qui pèsent sur les systèmes logiciels. Cette année, l’analyse s’est appuyée sur 39 080 CVE (Common Vulnerabilities and Exposures), des identifiants standardisés pour les vulnérabilités de sécurité. MITRE explique que l’identification des causes profondes de ces failles permet d’orienter les investissements et les politiques de sécurité, tant pour les entreprises que pour les administrations publiques.
Pour la troisième année consécutive, les scripts intersites (XSS) occupent la première place du classement. L’injection SQL, qui permet à des attaquants d’interagir directement avec les bases de données, a progressé d’une place pour se hisser à la deuxième position. La falsification de requêtes intersites (CSRF) complète le podium. D’autres vulnérabilités, comme l’utilisation après libération et l’injection de code, ont également gagné du terrain dans le classement.
Certaines failles ont toutefois perdu de leur importance relative. L’écriture hors limites, la traversée de chemin, la lecture hors limites et l’injection de commandes du système d’exploitation ont toutes reculé dans le classement par rapport à l’année précédente.
De nouvelles entrées ont fait leur apparition dans le Top 25, notamment les dépassements de tampon classiques, basés sur la pile et sur le tas, ainsi que les problèmes de contrôle d’accès et de contournement d’autorisation. Ces nouvelles vulnérabilités témoignent de l’évolution constante des menaces et de la nécessité pour les développeurs de rester vigilants.
Cependant, Cory Michal, directeur de la sécurité d’AppOmni, estime que la liste aurait dû inclure les « informations d’identification insuffisamment protégées ». Il souligne le danger que représentent les identifiants compromis, en particulier dans le contexte des fournisseurs d’intégration SaaS.
« Lorsque des principaux fournisseurs d’intégration SaaS comme Commvault, Salesloft/Drift et Gainsight sont piratés et que les attaquants repartent avec des jetons OAuth2, ces « informations d’identification » deviennent une clé squelette pour des milliers de locataires SaaS en aval. »
Cory Michal, directeur de la sécurité d’AppOmni
Michal explique que les attaquants peuvent utiliser ces jetons volés pour accéder aux données CRM et de collaboration sans avoir besoin des mots de passe des utilisateurs. Il anticipe que cette tendance, et donc l’impact du CWE-522 (informations d’identification insuffisamment protégées), continuera de croître en 2026.
La nouvelle liste CWE Top 25 met en évidence l’importance croissante des questions d’identité, d’autorisation et de contrôle d’accès. L’ascension de failles telles que l’authentification manquante, le contrôle d’accès inapproprié et le contournement d’autorisation indique que les attaquants parviennent régulièrement à exploiter les faiblesses de la logique d’authentification et d’autorisation.
« Dans le monde SaaS et IA d’aujourd’hui, où les applications sont interconnectées par des API et des intégrations, ces faiblesses se transforment rapidement en mouvements latéraux, en exposition de données et en risques réels. »
Cory Michal, directeur de la sécurité d’AppOmni
Les classements sont établis en fonction de la gravité de chaque vulnérabilité et de la fréquence à laquelle elle est exploitée dans la nature. Plus d’informations sur les CWE sont disponibles sur InfoSecurity Magazine.
À ne pas manquer
