Top 10 vulnérabilités 2026 et comment s’en protéger

Pourquoi ce Top 10 en 2026 est différent

Ce panorama présente dix familles de risques, et non un classement statistique officiel pour 2026. Consultez le catalogue CISA KEV, les recommandations OWASP et les avis des éditeurs pour prioriser les vulnérabilités réellement applicables à vos systèmes.

Ce guide est 100% défensif. Aucun exploit détaillé, aucun code offensif. L'objectif est pédagogique : vous comprendrez comment ça marche d'un point de vue risque, comment détecter si vous êtes vulnérable, et comment vous protéger avec des mesures concrètes, gratuites ou peu coûteuses.

1Injection (SQL, NoSQL, LDAP) – OWASP A03

Le risque

Les injections apparaissent lorsque des données non fiables modifient une requête. Les requêtes paramétrées, la validation et la revue du code restent essentielles, y compris avec un ORM.

2Broken Access Control, IDOR & BOLA – OWASP A01

Les failles IDOR et BOLA surviennent lorsque l’autorisation n’est pas vérifiée sur chaque ressource. Exemple de chemin à protéger : /api/v1/users/1234/invoices où changer 1234 en 1235 donne accès aux factures d'un autre client. Les API REST non documentées sont particulièrement vulnérables.

3Log4Shell et héritage Log4j (CVE-2021-44228)

Log4j peut être présent dans des dépendances transitives, des images et des équipements Java. Inventoriez les versions et appliquez les correctifs recommandés par Apache et les fournisseurs concernés.

4SSRF – Server-Side Request Forgery (OWASP A10)

SSRF est passé de niche à critique car le cloud a tout changé. Une SSRF qui permet d'appeler 169.254.169.254 (métadonnées cloud) peut exposer des informations sensibles si les permissions et protections sont insuffisantes.

• Allow-list stricte : tout paramètre URL fourni par l'utilisateur doit être validé contre une allow-list de domaines/IP.
• Désactivez les redirections côté serveur pour les fetchers internes.
• Isolation réseau : les workloads sans besoin metadata doivent bloquer 169.254.169.254 via iptables ou IMDSv2 obligatoire avec hop limit 1.

5Supply Chain : MOVEit, XZ Utils, npm & pip

L'attaque XZ Utils (CVE-2024-3094) a été un électrochoc : une backdoor maintenue 2 ans dans une librairie de compression Linux omniprésente. MOVEit Transfer (CVE-2023-34362) a coûté 9,9 Md$ en 2023-2024 selon IBM. En 2025-2026, la menace vient des typosquats npm/pypi et des actions GitHub compromises. Le SBOM (Software Bill of Materials) est devenu obligatoire pour la conformité US EO 14028 et DORA en Europe.

6Cross-Site Scripting (XSS) stocké & DOM-based

Avec la montée des frameworks SSR (Next.js, Nuxt) et des éditeurs riches, le XSS stocké revient. Un commentaire ou un nom de fichier contenant un payload peut persister en base et s'exécuter chez chaque visiteur. Le DOM XSS est plus insidieux : aucun appel serveur, donc invisible pour un WAF classique. Google estime que 55% des sites utilisant innerHTML sans sanitization sont vulnérables.

Défense : CSP stricte avec script-src 'self' + nonce, pas d'unsafe-inline. Utilisez DOMPurify côté client et serveur, et adoptez des frameworks qui auto-échappent (React le fait, mais attention à dangerouslySetInnerHTML). Activez Trusted Types (Chrome) pour bloquer les sinks DOM.

7Authentication Failures & MFA Fatigue

En 2025, Microsoft a bloqué 1,3 milliard d'attaques MFA fatigue (bombing) par mois. L'attaque consiste à spammer l'utilisateur de push MFA jusqu'à ce qu'il accepte par erreur. S'ajoute le session fixation et les tokens JWT sans expiration courte. La compromission d'identité est le vecteur initial #1 depuis 3 ans.

• Passez à passkeys / FIDO2 résistant au phishing, pas à SMS OTP.
• Implémentez number matching sur Microsoft Authenticator ou équivalent.
• JWT : access token < 15 min, refresh token rotatif, révocation côté serveur.
• Détection impossible travel : impossible qu'un user soit à Paris et à Tokyo à 5 min d'intervalle.

8Cloud Misconfig & Metadata – la suite logique de SSRF

Bien que techniquement liée à SSRF, elle mérite sa catégorie : buckets S3 publics, rôles IAM trop permissifs (*), et exposure de clés dans GitHub. En 2025, 84% des incidents cloud provenaient d'une mauvaise configuration, pas d'une vulnérabilité logicielle (rapport Sysdig). L'API AWS IMDSv1 sans protection est encore activée dans 37% des EC2 selon Orca Security.

Défense : Activez AWS Config + GuardDuty, imposez IMDSv2, utilisez least privilege via IAM Access Analyzer, scanez vos repos avec gitleaks/trufflehog en pre-commit. Limitez les accès publics au strict besoin documenté et privilégiez une distribution contrôlée.

9Insecure Deserialization & RCE via librairies

Java (Jackson, XStream), Python (pickle), PHP (unserialize) : la désérialisation de données non fiables reste un chemin vers RCE. En 2025-2026, l'écosystème Spring Boot + librairies communautaires a connu 12 CVE critiques liées à une désérialisation chaînée (gadget chains). Les attaquants déposent un objet sérialisé dans un cache Redis ou un message Kafka.

Défense : Interdisez les formats sérialisés binaires pour les données utilisateur. Préférez JSON avec schéma strict (JSON Schema) et validation. Si vous devez désérialiser, utilisez une allow-list de classes (ex: Jackson PolymorphicTypeValidator) et isolez le processus dans un sandbox seccomp/gVisor.

10Cryptographic Failures & secrets en dur – OWASP A02

Les secrets présents dans les dépôts, les protocoles obsolètes et les mots de passe stockés avec des algorithmes inadaptés exposent les systèmes. Définissez une politique de rotation selon les risques et les exigences applicables : PCI DSS ne prescrit pas une rotation universelle de tous les secrets tous les 90 jours.

• Coffre-fort : HashiCorp Vault, AWS Secrets Manager ou Doppler ; jamais de .env en git.
• Détection : git-secrets + pre-commit + GitHub push protection activée.
• Utilisez des bibliothèques cryptographiques maintenues, un hachage de mots de passe adapté comme Argon2id, et TLS 1.3 ou TLS 1.2 correctement configuré si nécessaire pour la compatibilité.
• Rotation automatique et audit mensuel des secrets inactifs.

Stratégie globale de défense durable (budget PME/ETI)

Vous n'avez pas besoin d'un SOC à 500k€ pour corriger le Top 10. Voici le socle minimal viable, inspiré des recommandations de sécurité et des CIS Controls :

Conclusion

Ces dix familles de risques appellent une défense en profondeur : requêtes paramétrées, autorisation systématique, inventaire des dépendances, correctifs et protection des secrets. Aucun ensemble de mesures ne garantit l’éradication de tous les risques.

FAQ – Vulnérabilités 2026

Ces conseils généraux ne remplacent pas un audit personnalisé ni un avis juridique. Toute vérification technique doit être autorisée par le propriétaire du système.