Vulnérabilité dans ASP.NET Core

7 min de lecture · Mis à jour le 23.04.2026

Microsoft a rendu publique le 22 avril 2026 une faille d’élévation de privilèges dans ASP.NET Core avec CVE-2026-40372 et un score CVSS de 9.1. Le correctif pour DataProtection 10.0.7 est disponible. Pour les petites et moyennes entreprises de développement et les entreprises familiales avec des développements internes, la situation est opérationnellement délicate : personne ne sait exactement dans quelles applications internes la bibliothèque affectée est utilisée. Le balayage d’inventaire rapide de 48 heures est la bonne réponse en 2026, suivi de routines de correctifs structurées pour les prochains trimestres.

Ce que fait concrètement la faille

Qu’est-ce que CVE-2026-40372 ? CVE-2026-40372 est une faille d’élévation de privilèges dans la bibliothèque DataProtection d’ASP.NET Core, publiée le 22 avril 2026 avec un score CVSS de 9.1. La vulnérabilité est due à une régression dans la vérification de la signature cryptographique. Un attaquant peut contourner la validation avec un HMAC tout à zéro et ainsi falsifier les cookies d’authentification. L’attaque suivante permet une élévation de privilèges jusqu’au niveau SYSTEM sur l’hôte. Les versions 10.0.0 à 10.0.6 sont affectées, le correctif est disponible dans la version 10.0.7.

Pour les petites et moyennes entreprises avec leurs propres équipes de développement, cette faille est particulièrement pertinente pour deux raisons. Premièrement : ASP.NET Core est l’une des plateformes les plus utilisées pour les applications spécialisées internes dans les PME de la région DACH. Du tableau de bord des ventes au portail de service en passant par la gestion de la logistique, beaucoup de ces applications fonctionnent sur .NET 10. Deuxièmement : les applications développées en interne sont souvent difficiles à inventorier car elles ne figurent pas dans les bases de données centralisées des actifs informatiques. La combinaison est traîtresse.

La faille est exploitable via le réseau et ne nécessite pas d’authentification. Toute personne exploitant une application ASP.NET Core avec DataProtection dans la plage de versions mentionnée a un vecteur d’attaque ouvert. Le risque est d’autant plus élevé que l’application est exposée longtemps et que le temps de réaction après la publication est court. La variante des nouvelles de Security Today fournit la profondeur opérationnelle pour les équipes de sécurité.

Pourquoi les développements internes des PME sont particulièrement affectés

Trois tendances au sein des PME dans les pays DACH amplifient l’impact de cette faille. Premièrement : de nombreuses entreprises familiales ont développé leurs propres applications spécialisées au cours des dix dernières années, applications qui sont aujourd’hui cruciales pour leurs activités. Ces applications ont été développées en .NET, Java ou Python et sont souvent en mode maintenance, et non en développement actif. Les correctifs arrivent de manière irrégulière et l’inventaire des bibliothèques utilisées est rarement complet.

Deuxièmement : les équipes de développement des PME comptent souvent trois à huit développeurs qui gèrent plusieurs projets en parallèle. Les outils SBOM sont souvent encore en phase de mise en place dans cette catégorie de taille. Sans une liste automatisée des composants logiciels, la réaction à ces failles prend plus de temps que nécessaire. En cas d’incidents critiques, cela peut coûter des jours pendant lesquels la faille reste ouverte.

Troisièmement : les prestataires externes qui gèrent les développements internes des PME communiquent souvent avec retard sur les vagues de CVE. Si la direction ne prend connaissance des failles critiques que par la presse spécialisée, cela indique un problème de gestion des fournisseurs. La discussion Fortune sur les services IT axés sur les résultats a montré que les modèles de prestataires seront structurellement sous pression en 2026. Si vous avez un bon prestataire IT, vous devriez le contacter de manière proactive.

Un plan de 48 heures pour la direction des PME

Deux jours suffisent pour un Inventory-Sweep propre, si la direction, le responsable IT et les prestataires externes travaillent de manière coordonnée. Les étapes suivantes fonctionnent dans des structures de PME comptant entre 100 et 1 000 employés.

Ce que la faille révèle sur la maturité des correctifs dans les PME

CVE-2026-40372 n’est pas le premier incident critique d’avril 2026 et ne sera pas le dernier. La cadence des CVE critiques a sensiblement augmenté au cours des douze derniers mois. Alors qu’en 2024, les directions de PME pouvaient anticiper trois CVE critiques par trimestre, en 2026, elles en voient deux par semaine. La faille devient un test pour évaluer la maturité des correctifs.

Trois investissements sont recommandés. Premièrement : intégrer des outils SBOM dans votre propre pipeline de développement. Des fournisseurs comme Anchore, Snyk et Sysdig proposent des packages abordables pour les PME. Les coûts se situent généralement dans le bas de la fourchette à cinq chiffres par an et s’amortissent dès le premier incident sérieux. Deuxièmement : établir un suivi des correctifs comme routine trimestrielle. Le Microsoft Security Response Center, le catalogue CISA KEV et les avis du BSI devraient être vérifiés chaque semaine. Troisièmement : ajouter des obligations de communication sur les correctifs dans les contrats avec les prestataires externes.

Lors de la prochaine réunion de direction, une question concrète mérite d’être posée : combien de temps nous faut-il pour passer de la découverte d’un CVE à la mise en place d’un correctif ? Si vous pouvez répondre à cette question en 30 secondes avec un chiffre, vous avez une routine de sécurité fonctionnelle. Si la réponse est vague, vous avez un besoin d’investissement identifiable pour 2026. Une deuxième question sur le statut SBOM fournira la même information sur la maturité. Ces deux questions méritent d’être posées trimestriellement lors des briefings de direction.

Comment la faille s’intègre dans le tableau d’avril

CVE-2026-40372 s’inscrit dans une vague que Constellation Research, Deloitte et plusieurs analyses sectorielles ont décrite en 2026 comme un déplacement structurel. Constellation Enterprise Intelligence April a mis en avant la responsabilité en matière de cybersécurité comme couche de contrôle pour les opérations d’IA. Le Deloitte State of AI 2026 a quantifié la faille d’exécution. Les deux sources confirment que la maturité opérationnelle en matière de sécurité est devenue une dimension stratégique.

Pour les directions des PME, il en résulte un message cohérent. Les questions de sécurité ne sont pas en 2026 une routine informatique, mais une responsabilité de la direction. Ceux qui traitent la discipline SBOM, le suivi des correctifs et la communication avec les fournisseurs comme des programmes opérationnels obligatoires se construisent une position résiliente face à la prochaine vague de CVE. Ceux qui délèguent et ne vérifient pas s’exposent à des frictions évitables à chaque vague.

Une dernière observation mérite d’être intégrée dans la discussion stratégique. Les PME qui documentent bien leur réaction aux correctifs auront de meilleures cartes en main dans les discussions avec les assureurs et les audits de conformité en 2026. Les assureurs demandent de plus en plus des informations concrètes sur les délais de correctifs et le statut SBOM. Ceux qui documentent correctement obtiennent de meilleures conditions d’assurance cyber. Ceux qui restent vagues paient plus ou se voient imposer des exclusions strictes. Cette conséquence sera visible dans chaque bilan des PME au cours des 18 prochains mois.

Questions fréquentes

Source de l’image de couverture : Pexels / cottonbro studio (px:6804068)