Threat Spotlight

Une application web présente en moyenne 20 vulnérabilités de sécurité, dont la plupart résultent de négligences élémentaires

Une nouvelle étude menée par Barracuda montre qu’une application web présente en moyenne 20 vulnérabilités de sécurité susceptibles d’être exploitées par des attaquants pour voler des données, compromettre des comptes ou accéder sans autorisation à des systèmes. Ces conclusions sont détaillées dans un nouveau rapport, qui révèle également que les vulnérabilités les plus courantes résultent de mauvaises configurations de sécurité et de négligences évitables.

Les chercheurs ont analysé des centaines d’analyses Barracuda Application Security Insight sur une période de cinq mois en 2026. Ils ont identifié sept grandes typologies de vulnérabilités qui, ensemble, représentent environ 90 % de l'ensemble des vulnérabilités détectées.

Parmi celles-ci figurent :

• Divulgation d’informations : représentant 25 % des failles de sécurité détectées, elle se produit lorsque l’application révèle trop d’informations sur ses systèmes, domaines, pages masquées, routes ou services. Les attaquants peuvent utiliser ces données pour cartographier l’environnement de la cible, repérer les points faibles, découvrir des points de terminaison cachés, trouver des zones d’administration dissimulées et préparer des attaques plus ciblées, le tout sans être détectés.

• Usurpation et imitation de marque : représentant 23 % des failles de sécurité détectées, il s’agit de faiblesses qui permettent plus facilement aux attaquants de se faire passer pour une marque, un site web ou un domaine de confiance, et d’inciter les utilisateurs à communiquer leurs identifiants ou des informations sensibles. Les attaquants peuvent utiliser des identités compromises pour cloner des pages web, rediriger les utilisateurs vers des sites malveillants, voler des identifiants de connexion ou envoyer des e-mails de phishing crédibles au nom de la marque

• Attaques côté client (exploitation du navigateur) : il s’agit de faiblesses dans la manière dont les pages web affichent ou exécutent du contenu, permettant aux attaquants d’exécuter des scripts malveillants dans le navigateur d’un utilisateur. L’exposition aux attaques côté client représente 14 % des failles de sécurité détectées. Les attaquants pourraient l’exploiter pour injecter des scripts — par exemple au moyen d’attaques de type Cross-Site Scripting (XSS) — afin de voler des cookies de session, modifier le contenu visible, inciter les utilisateurs à cliquer sur des boutons masqués ou téléverser des fichiers trompeurs.

• Exposition des données : elle représente 10 % des failles de sécurité détectées. Elle se produit lorsque des informations sensibles sont inutilement exposées par l’application, par exemple via des pages web, des API, des journaux, des cookies, des scripts de suivi ou des réponses mal configurées. Les attaquants peuvent l’exploiter pour recueillir des données personnelles, des jetons, du contenu privé, des secrets ou des informations commerciales confidentielles, notamment des e-mails et des paramètres de configuration ; suivre les utilisateurs sans leur consentement ; et contourner les contrôles d’accès et les politiques de conservation des données.

• La liste se complète par un chiffrement faible ou absent, qui permet aux attaquants d’intercepter ou de manipuler le trafic (6 % des failles), des logiciels obsolètes ou des configurations non sécurisées (également 6 %), ainsi que des faiblesses dans la gestion des sessions utilisateur et dans la protection des cookies et des identifiants (5 %).

« Les applications web constituent une interface essentielle pour les organisations, qu’il s’agisse de vitrines de sites web ou d’interfaces interactives destinées aux clients, aux partenaires et aux opérations. Il est indispensable d’assurer leur sécurité », a déclaré Jesus Cordero-Guzman, Director, Solution Architects AppSec, NetSec & XDR International chez Barracuda. « Une moyenne de 20 vulnérabilités par application offre aux attaquants de multiples possibilités de sonder, tester et exploiter les faiblesses. Si chaque problème n’est pas forcément critique pris isolément, les attaquants combinent souvent plusieurs vulnérabilités à risque faible ou moyen pour exposer des informations sensibles, voler des identifiants ou obtenir un accès non autorisé. Les organisations ont besoin d’une approche proactive et multicouche de la sécurité des applications, qui identifie et traite en continu les risques avant qu’ils ne puissent être exploités. »

Pour réduire les risques liés aux applications web, il est recommandé aux organisations :

• D'effectuer régulièrement des analyses pour détecter les vulnérabilités et les mauvaises configurations de sécurité.
• De corriger et mettre rapidement à jour les applications, les frameworks et les dépendances.
• De limiter la divulgation d’informations et l’exposition de données sensibles.
• De renforcer les contrôles de chiffrement, d’authentification et de sécurité des sessions.
• De surveiller en continu les applications web afin de détecter toute activité suspecte et toute menace émergente.

Pour plus d’informations et de conseils, consultez l’article de blog : https://blog.barracuda.com/2026/08/19/average-web-application-20-security-vulnerabilities

Contacts Presse :   

Agence TEAM LEWIS

[email protected]     

Tel : 06 17 98 29 88 / 06 18 53 06 12