7 min de lecture \u00b7 Mis \u00e0 jour le 23.04.2026<\/p>\n
Microsoft a rendu publique le 22 avril 2026 une faille d’\u00e9l\u00e9vation de privil\u00e8ges dans ASP.NET Core avec CVE-2026-40372 et un score CVSS de 9.1. Le correctif pour DataProtection 10.0.7 est disponible. Pour les petites et moyennes entreprises de d\u00e9veloppement et les entreprises familiales avec des d\u00e9veloppements internes, la situation est op\u00e9rationnellement d\u00e9licate : personne ne sait exactement dans quelles applications internes la biblioth\u00e8que affect\u00e9e est utilis\u00e9e. Le balayage d’inventaire rapide de 48 heures est la bonne r\u00e9ponse en 2026, suivi de routines de correctifs structur\u00e9es pour les prochains trimestres.<\/strong><\/p>\n Qu’est-ce que CVE-2026-40372 ?<\/strong> CVE-2026-40372 est une faille d’\u00e9l\u00e9vation de privil\u00e8ges dans la biblioth\u00e8que DataProtection d’ASP.NET Core, publi\u00e9e le 22 avril 2026 avec un score CVSS de 9.1. La vuln\u00e9rabilit\u00e9 est due \u00e0 une r\u00e9gression dans la v\u00e9rification de la signature cryptographique. Un attaquant peut contourner la validation avec un HMAC tout \u00e0 z\u00e9ro et ainsi falsifier les cookies d’authentification. L’attaque suivante permet une \u00e9l\u00e9vation de privil\u00e8ges jusqu’au niveau SYSTEM sur l’h\u00f4te. Les versions 10.0.0 \u00e0 10.0.6 sont affect\u00e9es, le correctif est disponible dans la version 10.0.7.<\/p>\n Pour les petites et moyennes entreprises avec leurs propres \u00e9quipes de d\u00e9veloppement, cette faille est particuli\u00e8rement pertinente pour deux raisons. Premi\u00e8rement : ASP.NET Core est l’une des plateformes les plus utilis\u00e9es pour les applications sp\u00e9cialis\u00e9es internes dans les PME de la r\u00e9gion DACH. Du tableau de bord des ventes au portail de service en passant par la gestion de la logistique, beaucoup de ces applications fonctionnent sur .NET 10. Deuxi\u00e8mement : les applications d\u00e9velopp\u00e9es en interne sont souvent difficiles \u00e0 inventorier car elles ne figurent pas dans les bases de donn\u00e9es centralis\u00e9es des actifs informatiques. La combinaison est tra\u00eetresse.<\/p>\n La faille est exploitable via le r\u00e9seau et ne n\u00e9cessite pas d’authentification. Toute personne exploitant une application ASP.NET Core avec DataProtection dans la plage de versions mentionn\u00e9e a un vecteur d’attaque ouvert. Le risque est d’autant plus \u00e9lev\u00e9 que l’application est expos\u00e9e longtemps et que le temps de r\u00e9action apr\u00e8s la publication est court. La variante des nouvelles de Security Today<\/a> fournit la profondeur op\u00e9rationnelle pour les \u00e9quipes de s\u00e9curit\u00e9.<\/p>\n Trois tendances au sein des PME dans les pays DACH amplifient l’impact de cette faille. Premi\u00e8rement : de nombreuses entreprises familiales ont d\u00e9velopp\u00e9 leurs propres applications sp\u00e9cialis\u00e9es au cours des dix derni\u00e8res ann\u00e9es, applications qui sont aujourd’hui cruciales pour leurs activit\u00e9s. Ces applications ont \u00e9t\u00e9 d\u00e9velopp\u00e9es en .NET, Java ou Python et sont souvent en mode maintenance, et non en d\u00e9veloppement actif. Les correctifs arrivent de mani\u00e8re irr\u00e9guli\u00e8re et l’inventaire des biblioth\u00e8ques utilis\u00e9es est rarement complet.<\/p>\n Deuxi\u00e8mement : les \u00e9quipes de d\u00e9veloppement des PME comptent souvent trois \u00e0 huit d\u00e9veloppeurs qui g\u00e8rent plusieurs projets en parall\u00e8le. Les outils SBOM sont souvent encore en phase de mise en place dans cette cat\u00e9gorie de taille. Sans une liste automatis\u00e9e des composants logiciels, la r\u00e9action \u00e0 ces failles prend plus de temps que n\u00e9cessaire. En cas d’incidents critiques, cela peut co\u00fbter des jours pendant lesquels la faille reste ouverte.<\/p>\n Troisi\u00e8mement : les prestataires externes qui g\u00e8rent les d\u00e9veloppements internes des PME communiquent souvent avec retard sur les vagues de CVE. Si la direction ne prend connaissance des failles critiques que par la presse sp\u00e9cialis\u00e9e, cela indique un probl\u00e8me de gestion des fournisseurs. La discussion Fortune sur les services IT ax\u00e9s sur les r\u00e9sultats<\/a> a montr\u00e9 que les mod\u00e8les de prestataires seront structurellement sous pression en 2026. Si vous avez un bon prestataire IT, vous devriez le contacter de mani\u00e8re proactive.<\/p>\n Deux jours suffisent pour un Inventory-Sweep propre, si la direction, le responsable IT et les prestataires externes travaillent de mani\u00e8re coordonn\u00e9e. Les \u00e9tapes suivantes fonctionnent dans des structures de PME comptant entre 100 et 1 000 employ\u00e9s.<\/p>\n CVE-2026-40372 n’est pas le premier incident critique d’avril 2026 et ne sera pas le dernier. La cadence des CVE critiques a sensiblement augment\u00e9 au cours des douze derniers mois. Alors qu’en 2024, les directions de PME pouvaient anticiper trois CVE critiques par trimestre, en 2026, elles en voient deux par semaine. La faille devient un test pour \u00e9valuer la maturit\u00e9 des correctifs.<\/p>\n Trois investissements sont recommand\u00e9s. Premi\u00e8rement : int\u00e9grer des outils SBOM dans votre propre pipeline de d\u00e9veloppement. Des fournisseurs comme Anchore, Snyk et Sysdig proposent des packages abordables pour les PME. Les co\u00fbts se situent g\u00e9n\u00e9ralement dans le bas de la fourchette \u00e0 cinq chiffres par an et s’amortissent d\u00e8s le premier incident s\u00e9rieux. Deuxi\u00e8mement : \u00e9tablir un suivi des correctifs comme routine trimestrielle. Le Microsoft Security Response Center, le catalogue CISA KEV et les avis du BSI devraient \u00eatre v\u00e9rifi\u00e9s chaque semaine. Troisi\u00e8mement : ajouter des obligations de communication sur les correctifs dans les contrats avec les prestataires externes.<\/p>\n Lors de la prochaine r\u00e9union de direction, une question concr\u00e8te m\u00e9rite d’\u00eatre pos\u00e9e : combien de temps nous faut-il pour passer de la d\u00e9couverte d’un CVE \u00e0 la mise en place d’un correctif ? Si vous pouvez r\u00e9pondre \u00e0 cette question en 30 secondes avec un chiffre, vous avez une routine de s\u00e9curit\u00e9 fonctionnelle. Si la r\u00e9ponse est vague, vous avez un besoin d’investissement identifiable pour 2026. Une deuxi\u00e8me question sur le statut SBOM fournira la m\u00eame information sur la maturit\u00e9. Ces deux questions m\u00e9ritent d’\u00eatre pos\u00e9es trimestriellement lors des briefings de direction.<\/p>\n CVE-2026-40372 s’inscrit dans une vague que Constellation Research, Deloitte et plusieurs analyses sectorielles ont d\u00e9crite en 2026 comme un d\u00e9placement structurel. Constellation Enterprise Intelligence April<\/a> a mis en avant la responsabilit\u00e9 en mati\u00e8re de cybers\u00e9curit\u00e9 comme couche de contr\u00f4le pour les op\u00e9rations d’IA. Le Deloitte State of AI 2026<\/a> a quantifi\u00e9 la faille d’ex\u00e9cution. Les deux sources confirment que la maturit\u00e9 op\u00e9rationnelle en mati\u00e8re de s\u00e9curit\u00e9 est devenue une dimension strat\u00e9gique.<\/p>\n Pour les directions des PME, il en r\u00e9sulte un message coh\u00e9rent. Les questions de s\u00e9curit\u00e9 ne sont pas en 2026 une routine informatique, mais une responsabilit\u00e9 de la direction. Ceux qui traitent la discipline SBOM, le suivi des correctifs et la communication avec les fournisseurs comme des programmes op\u00e9rationnels obligatoires se construisent une position r\u00e9siliente face \u00e0 la prochaine vague de CVE. Ceux qui d\u00e9l\u00e8guent et ne v\u00e9rifient pas s’exposent \u00e0 des frictions \u00e9vitables \u00e0 chaque vague.<\/p>\n Une derni\u00e8re observation m\u00e9rite d’\u00eatre int\u00e9gr\u00e9e dans la discussion strat\u00e9gique. Les PME qui documentent bien leur r\u00e9action aux correctifs auront de meilleures cartes en main dans les discussions avec les assureurs et les audits de conformit\u00e9 en 2026. Les assureurs demandent de plus en plus des informations concr\u00e8tes sur les d\u00e9lais de correctifs et le statut SBOM. Ceux qui documentent correctement obtiennent de meilleures conditions d’assurance cyber. Ceux qui restent vagues paient plus ou se voient imposer des exclusions strictes. Cette cons\u00e9quence sera visible dans chaque bilan des PME au cours des 18 prochains mois.<\/p>\n La biblioth\u00e8que DataProtection dans les versions 10.0.0 \u00e0 10.0.6. Le patch dans la version 10.0.7 est disponible depuis le 22 avril 2026. Les versions majeures ant\u00e9rieures ne sont pas directement concern\u00e9es, mais devraient \u00eatre v\u00e9rifi\u00e9es ind\u00e9pendamment de leur statut de cycle de vie.<\/p>\n<\/details>\n Recherche SBOM pour Microsoft.AspNetCore.DataProtection dans l’une des versions mentionn\u00e9es. Les analyses d’images de conteneurs avec Trivy, Grype ou Snyk identifient les paquets concern\u00e9s. Les \u00e9quipes de d\u00e9veloppement peuvent g\u00e9n\u00e9ralement fournir un statut en quelques heures, \u00e0 condition qu’elles documentent leurs cha\u00eenes d’approvisionnement.<\/p>\n<\/details>\n La responsabilit\u00e9 est r\u00e9partie selon les termes du contrat. Les contrats de travail classiques donnent au client la responsabilit\u00e9 op\u00e9rationnelle du patch, et non au prestataire. Ceux qui ont des contrats de r\u00e9sultat ou g\u00e9r\u00e9s avec des clauses de patch peuvent imposer davantage de responsabilit\u00e9s au prestataire. Une clarification contractuelle est utile avant le prochain incident.<\/p>\n<\/details>\n Pas n\u00e9cessairement. Pour les applications avec une courte exposition \u00e0 Internet, le patch suffit. Pour les applications expos\u00e9es plus longtemps, une rotation des cookies est recommand\u00e9e, car il n’est pas possible d’exclure avec certitude que des cookies aient d\u00e9j\u00e0 \u00e9t\u00e9 compromis. En cas de doute, faites une rotation.<\/p>\n<\/details>\n Trivy et Grype sont des solutions open-source gratuites qui peuvent \u00eatre int\u00e9gr\u00e9es dans les pipelines CI. Snyk et Anchore offrent des packages commerciaux avec de meilleures fonctionnalit\u00e9s de reporting et un support entreprise. Pour les premiers pas, les outils open-source suffisent, mais \u00e0 partir de cinq d\u00e9veloppeurs, une solution commerciale est recommand\u00e9e.<\/p>\n<\/details>\n Trimestriellement en standard, imm\u00e9diatement en cas d’incidents critiques comme CVE-2026-40372. Une simple question lors de la prochaine r\u00e9union de direction peut sensiblement changer l’attention de l’\u00e9quipe IT. Une fois cette pratique \u00e9tablie, vous recevrez r\u00e9guli\u00e8rement des r\u00e9ponses fond\u00e9es.<\/p>\n<\/details>\n Deloitte State of AI 2026 : Le foss\u00e9 d’ex\u00e9cution et la maturit\u00e9 des PME<\/a><\/p>\n Constellation Enterprise Intelligence avril 2026<\/a><\/p>\n Rapport Fortune du 22 avril : Mod\u00e8les de r\u00e9sultats des services IT<\/a><\/p>\n<\/div>\nL’essentiel en bref<\/h2>\n
\n
Ce que fait concr\u00e8tement la faille<\/h2>\n
Pourquoi les d\u00e9veloppements internes des PME sont particuli\u00e8rement affect\u00e9s<\/h2>\n
Ce que la direction doit faire maintenant<\/h3>\n
\n
Ce qui n’est pas suffisant<\/h3>\n
\n
Un plan de 48 heures pour la direction des PME<\/h2>\n
Ce que la faille r\u00e9v\u00e8le sur la maturit\u00e9 des correctifs dans les PME<\/h2>\n
Comment la faille s’int\u00e8gre dans le tableau d’avril<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Quelles versions d’ASP.NET Core sont concern\u00e9es ?<\/strong><\/summary>\n
Comment savoir si nos applications internes sont concern\u00e9es ?<\/strong><\/summary>\n
Qui est responsable en cas d’incident impliquant le code d’un prestataire externe ?<\/strong><\/summary>\n
La rotation des cookies est-elle toujours n\u00e9cessaire ?<\/strong><\/summary>\n
Quels outils SBOM conviennent aux \u00e9quipes de d\u00e9veloppement de taille moyenne ?<\/strong><\/summary>\n
\u00c0 quelle fr\u00e9quence les dirigeants devraient-ils demander le statut des patches ?<\/strong><\/summary>\n
Conseils de lecture de la r\u00e9daction<\/h2>\n