Un fichier Word envoyé à votre comptable peut compromettre toute votre entreprise
Imaginez la scène. Lundi matin, 9h15. Votre comptable reçoit un email d'un fournisseur habituel : "Veuillez trouver ci-joint la facture corrigée." Elle ouvre le fichier Word en pièce jointe. Rien ne se passe visuellement. Pas d'alerte, pas de message suspect. Mais en arrière-plan, un attaquant vient de prendre le contrôle total de son poste.
Ce scénario n'est pas de la fiction. C'est exactement ce que permet la vulnérabilité CVE-2023-21716, découverte dans Microsoft Word par le chercheur en sécurité Joshua Drake.
CVE-2023-21716 : une faille critique à 9,8/10
Les détails techniques de cette vulnérabilité sont alarmants :
- Score CVSS : 9,8 sur 10 (critique)
- Produits affectés : Microsoft Word, Office, SharePoint
- Vecteur d'attaque : un fichier RTF envoyé par email ou partagé
- Interaction requise : aucune (la simple prévisualisation dans Outlook suffit)
- Privilèges nécessaires : aucun (attaquant non authentifié)
- Conséquence : exécution de code arbitraire avec les privilèges de l'utilisateur
La faille se situe dans la bibliothèque wwlib.dll de Microsoft Word. Un fichier RTF spécialement concu provoque un dépassement de mémoire qui permet à l'attaquant d'exécuter n'importe quelle commande sur le poste de la victime. Microsoft a publié un correctif lors du Patch Tuesday de février 2023, et un exploit proof-of-concept a été rendu public peu après.
Pourquoi votre PME est la cible idéale pour ce type d'attaque
Les grandes entreprises ont des équipes sécurité qui déploient les patchs Microsoft en 24 à 48 heures. Les PME ? La réalité est très différente.
Profil type d'une PME vulnérable à CVE-2023-21716 :
- Les mises à jour Windows sont en "mode automatique" mais souvent reportées par les utilisateurs ("Pas maintenant, je suis en réunion")
- Personne ne vérifie si les patchs sont réellement installés sur tous les postes
- Pas d'outil de gestion centralisée du parc (chaque poste est autonome)
- Les pièces jointes Word sont ouvertes sans méfiance (c'est un outil de travail quotidien)
- Pas d'EDR pour détecter un comportement anormal après l'ouverture du fichier
Résultat : des semaines, voire des mois peuvent passer entre la publication du correctif et son installation effective sur tous les postes d'une PME. Pendant ce temps, l'entreprise est une cible ouverte.
Les attaquants le savent. C'est pourquoi les PME représentent 43% des victimes de cyberattaques selon le rapport Verizon DBIR, alors qu'elles pensent souvent être "trop petites pour être ciblées".
PME qui patche manuellement vs PME avec patching automatisé Dhala
| Critère | Patching manuel (PME classique) | Patching automatisé Dhala |
|---|---|---|
| Délai de déploiement du patch | 2 semaines à 3 mois | 24 à 72 heures après publication |
| Taux de couverture | 60 à 80% des postes (oublis, postes éteints, refus utilisateur) | 100% des postes supervisés |
| Vérification | Aucune ou manuelle | Dashboard centralisé, alertes sur postes non conformes |
| Redémarrage | Dépend de la bonne volonté de l'utilisateur | Planifié automatiquement hors heures de bureau |
| Historique | Pas de traçabilité | Rapport mensuel de conformité |
| Fenêtre de vulnérabilité | Semaines à mois | Heures |
Avec l'infogérance Dhala, le patching est géré de manière centralisée pour l'ensemble de votre parc. Chaque Patch Tuesday, les correctifs critiques sont testés puis déployés sur tous vos postes dans les 72 heures. Vous n'avez rien à faire.
Comment l'EDR aurait bloqué cette attaque, même sans le patch
Le patching est la première ligne de défense, mais il a une limite : il ne protège que contre les failles connues et corrigées. Que se passe-t-il entre la découverte de la faille et la publication du patch (le fameux "zero-day") ?
C'est là qu'intervient l'EDR (Endpoint Detection and Response).
Voici comment un EDR managé aurait réagi face à l'exploitation de CVE-2023-21716, même sur un poste non patché :
- Détection comportementale : Word.exe tente de lancer un processus enfant inhabituel (cmd.exe, powershell.exe). L'EDR identifie ce comportement comme anormal et le bloque.
- Analyse en sandbox : la pièce jointe RTF est analysée dans un environnement isolé avant d'atteindre la boîte de réception (si couplé avec un antispam avancé).
- Isolation automatique : si le comportement malveillant est détecté après ouverture, l'EDR isole le poste du réseau pour empêcher la propagation latérale.
- Alerte SOC : l'événement est remonté aux analystes du SOC qui investiguent et prennent les mesures complémentaires.
Le patching automatisé empêche 95% des attaques. L'EDR managé rattrape les 5% restants. C'est cette combinaison qui rend une PME réellement résiliente.
Scénario complet : de l'email malveillant à la compromission totale
Pour comprendre l'urgence, voici le déroulé d'une attaque exploitant CVE-2023-21716 sur une PME non protégée :
| Heure | Ce qui se passe | Ce que voit l'utilisateur |
|---|---|---|
| 09:15 | Email reçu avec pièce jointe RTF | "Facture corrigée" d'un fournisseur |
| 09:16 | Ouverture du fichier dans Word | Document vide ou contenu anodin |
| 09:16 | Exploitation de la faille, exécution de code | Rien de visible |
| 09:17 | Téléchargement d'un outil de prise de contrôle à distance | Rien de visible |
| 09:30 | L'attaquant explore le réseau interne | Rien de visible |
| 10:00 | Accès au serveur de fichiers, exfiltration de données | Rien de visible |
| 14:00 | Déploiement du ransomware sur tous les postes | Tous les fichiers sont chiffrés |
Tout cela en moins de 5 heures. Sans EDR, sans supervision, personne ne voit rien jusqu'à ce qu'il soit trop tard.
FAQ : patching et protection des PME
Pourquoi ne pas simplement bloquer les fichiers RTF ?
C'est effectivement une mesure temporaire recommandée par Microsoft. Mais bloquer les RTF ne résout qu'une seule faille. De nouvelles vulnérabilités dans Word, Excel, PowerPoint et Outlook sont découvertes chaque mois (en moyenne 10 à 15 failles critiques par Patch Tuesday). La seule solution viable à long terme est un patching automatisé et systématique couplé à un EDR.
Mon antivirus ne suffit pas à me protéger ?
Un antivirus traditionnel fonctionne par signatures : il ne détecte que les menaces déjà connues et référencées. L'exploitation de CVE-2023-21716 utilise des techniques d'évasion qui contournent les antivirus classiques. Un EDR analyse les comportements (Word qui lance PowerShell, par exemple) et bloque les actions suspectes même si la menace est inconnue.
Combien de temps faut-il pour déployer le patching automatisé sur ma PME ?
Avec l'infogérance Dhala, le déploiement de l'outil de gestion de parc et de patching automatisé prend 1 à 2 jours ouvrés pour une PME de 10 à 50 postes. Aucune interruption de service n'est nécessaire. L'agent s'installe en arrière-plan et les premiers patchs sont déployés dès le soir même.
