[{"data":1,"prerenderedAt":522},["ShallowReactive",2],{"\u002Fblog\u002Fnouvelle-faille-securite-cve-2023-21716-microsoft-word\u002F":3,"related-\u002Fblog\u002Fnouvelle-faille-securite-cve-2023-21716-microsoft-word":497},{"id":4,"title":5,"author":6,"body":7,"category":482,"date":483,"description":484,"draft":485,"extension":486,"faqs":487,"image":488,"meta":490,"navigation":491,"path":492,"seo":493,"seoTitle":494,"showOnBlog":491,"stem":495,"updatedAt":487,"__hash__":496},"blog\u002Fblog\u002Fnouvelle-faille-securite-cve-2023-21716-microsoft-word.md","CVE-2023-21716 : quand un simple document Word peut prendre le contrôle de votre PC","Valentin Bourgeois",{"type":8,"value":9,"toc":466},"minimark",[10,15,24,31,35,38,78,90,94,97,102,119,126,133,137,240,249,254,258,265,272,275,307,313,317,320,412,415,419,424,431,435,450,454,463],[11,12,14],"h2",{"id":13},"un-fichier-word-envoyé-à-votre-comptable-peut-compromettre-toute-votre-entreprise","Un fichier Word envoyé à votre comptable peut compromettre toute votre entreprise",[16,17,18,19,23],"p",{},"Imaginez la scène. Lundi matin, 9h15. Votre comptable reçoit un email d'un fournisseur habituel : \"Veuillez trouver ci-joint la facture corrigée.\" Elle ouvre le fichier Word en pièce jointe. Rien ne se passe visuellement. Pas d'alerte, pas de message suspect. Mais en arrière-plan, un attaquant vient de prendre le ",[20,21,22],"strong",{},"contrôle total de son poste",".",[16,25,26,27,30],{},"Ce scénario n'est pas de la fiction. C'est exactement ce que permet la vulnérabilité ",[20,28,29],{},"CVE-2023-21716",", découverte dans Microsoft Word par le chercheur en sécurité Joshua Drake.",[11,32,34],{"id":33},"cve-2023-21716-une-faille-critique-à-9810","CVE-2023-21716 : une faille critique à 9,8\u002F10",[16,36,37],{},"Les détails techniques de cette vulnérabilité sont alarmants :",[39,40,41,48,54,60,66,72],"ul",{},[42,43,44,47],"li",{},[20,45,46],{},"Score CVSS"," : 9,8 sur 10 (critique)",[42,49,50,53],{},[20,51,52],{},"Produits affectés"," : Microsoft Word, Office, SharePoint",[42,55,56,59],{},[20,57,58],{},"Vecteur d'attaque"," : un fichier RTF envoyé par email ou partagé",[42,61,62,65],{},[20,63,64],{},"Interaction requise"," : aucune (la simple prévisualisation dans Outlook suffit)",[42,67,68,71],{},[20,69,70],{},"Privilèges nécessaires"," : aucun (attaquant non authentifié)",[42,73,74,77],{},[20,75,76],{},"Conséquence"," : exécution de code arbitraire avec les privilèges de l'utilisateur",[16,79,80,81,85,86,89],{},"La faille se situe dans la bibliothèque ",[82,83,84],"code",{},"wwlib.dll"," de Microsoft Word. Un fichier RTF spécialement concu provoque un dépassement de mémoire qui permet à l'attaquant d'exécuter n'importe quelle commande sur le poste de la victime. Microsoft a publié un correctif lors du Patch Tuesday de février 2023, et un ",[20,87,88],{},"exploit proof-of-concept"," a été rendu public peu après.",[11,91,93],{"id":92},"pourquoi-votre-pme-est-la-cible-idéale-pour-ce-type-dattaque","Pourquoi votre PME est la cible idéale pour ce type d'attaque",[16,95,96],{},"Les grandes entreprises ont des équipes sécurité qui déploient les patchs Microsoft en 24 à 48 heures. Les PME ? La réalité est très différente.",[16,98,99],{},[20,100,101],{},"Profil type d'une PME vulnérable à CVE-2023-21716 :",[39,103,104,107,110,113,116],{},[42,105,106],{},"Les mises à jour Windows sont en \"mode automatique\" mais souvent reportées par les utilisateurs (\"Pas maintenant, je suis en réunion\")",[42,108,109],{},"Personne ne vérifie si les patchs sont réellement installés sur tous les postes",[42,111,112],{},"Pas d'outil de gestion centralisée du parc (chaque poste est autonome)",[42,114,115],{},"Les pièces jointes Word sont ouvertes sans méfiance (c'est un outil de travail quotidien)",[42,117,118],{},"Pas d'EDR pour détecter un comportement anormal après l'ouverture du fichier",[16,120,121,122,125],{},"Résultat : ",[20,123,124],{},"des semaines, voire des mois"," peuvent passer entre la publication du correctif et son installation effective sur tous les postes d'une PME. Pendant ce temps, l'entreprise est une cible ouverte.",[16,127,128,129,132],{},"Les attaquants le savent. C'est pourquoi les PME représentent ",[20,130,131],{},"43% des victimes de cyberattaques"," selon le rapport Verizon DBIR, alors qu'elles pensent souvent être \"trop petites pour être ciblées\".",[11,134,136],{"id":135},"pme-qui-patche-manuellement-vs-pme-avec-patching-automatisé-dhala","PME qui patche manuellement vs PME avec patching automatisé Dhala",[138,139,140,156],"table",{},[141,142,143],"thead",{},[144,145,146,150,153],"tr",{},[147,148,149],"th",{},"Critère",[147,151,152],{},"Patching manuel (PME classique)",[147,154,155],{},"Patching automatisé Dhala",[157,158,159,173,186,199,212,225],"tbody",{},[144,160,161,167,170],{},[162,163,164],"td",{},[20,165,166],{},"Délai de déploiement du patch",[162,168,169],{},"2 semaines à 3 mois",[162,171,172],{},"24 à 72 heures après publication",[144,174,175,180,183],{},[162,176,177],{},[20,178,179],{},"Taux de couverture",[162,181,182],{},"60 à 80% des postes (oublis, postes éteints, refus utilisateur)",[162,184,185],{},"100% des postes supervisés",[144,187,188,193,196],{},[162,189,190],{},[20,191,192],{},"Vérification",[162,194,195],{},"Aucune ou manuelle",[162,197,198],{},"Dashboard centralisé, alertes sur postes non conformes",[144,200,201,206,209],{},[162,202,203],{},[20,204,205],{},"Redémarrage",[162,207,208],{},"Dépend de la bonne volonté de l'utilisateur",[162,210,211],{},"Planifié automatiquement hors heures de bureau",[144,213,214,219,222],{},[162,215,216],{},[20,217,218],{},"Historique",[162,220,221],{},"Pas de traçabilité",[162,223,224],{},"Rapport mensuel de conformité",[144,226,227,232,235],{},[162,228,229],{},[20,230,231],{},"Fenêtre de vulnérabilité",[162,233,234],{},"Semaines à mois",[162,236,237],{},[20,238,239],{},"Heures",[16,241,242,243,248],{},"Avec l'",[244,245,247],"a",{"href":246},"\u002Finfogerance-paris\u002F","infogérance Dhala",", le patching est géré de manière centralisée pour l'ensemble de votre parc. Chaque Patch Tuesday, les correctifs critiques sont testés puis déployés sur tous vos postes dans les 72 heures. Vous n'avez rien à faire.",[250,251],"article-button",{"link":252,"title":253},"\u002Faudit-gratuit\u002F","Vérifiez si vos postes sont à jour",[11,255,257],{"id":256},"comment-ledr-aurait-bloqué-cette-attaque-même-sans-le-patch","Comment l'EDR aurait bloqué cette attaque, même sans le patch",[16,259,260,261,264],{},"Le patching est la première ligne de défense, mais il a une limite : il ne protège que contre les failles ",[20,262,263],{},"connues et corrigées",". Que se passe-t-il entre la découverte de la faille et la publication du patch (le fameux \"zero-day\") ?",[16,266,267,268,23],{},"C'est là qu'intervient l'",[244,269,271],{"href":270},"\u002Fedr-xdr-mdr\u002F","EDR (Endpoint Detection and Response)",[16,273,274],{},"Voici comment un EDR managé aurait réagi face à l'exploitation de CVE-2023-21716, même sur un poste non patché :",[276,277,278,284,295,301],"ol",{},[42,279,280,283],{},[20,281,282],{},"Détection comportementale"," : Word.exe tente de lancer un processus enfant inhabituel (cmd.exe, powershell.exe). L'EDR identifie ce comportement comme anormal et le bloque.",[42,285,286,289,290,294],{},[20,287,288],{},"Analyse en sandbox"," : la pièce jointe RTF est analysée dans un environnement isolé avant d'atteindre la boîte de réception (si couplé avec un ",[244,291,293],{"href":292},"\u002Fantispam\u002F","antispam avancé",").",[42,296,297,300],{},[20,298,299],{},"Isolation automatique"," : si le comportement malveillant est détecté après ouverture, l'EDR isole le poste du réseau pour empêcher la propagation latérale.",[42,302,303,306],{},[20,304,305],{},"Alerte SOC"," : l'événement est remonté aux analystes du SOC qui investiguent et prennent les mesures complémentaires.",[16,308,309,312],{},[20,310,311],{},"Le patching automatisé empêche 95% des attaques. L'EDR managé rattrape les 5% restants."," C'est cette combinaison qui rend une PME réellement résiliente.",[11,314,316],{"id":315},"scénario-complet-de-lemail-malveillant-à-la-compromission-totale","Scénario complet : de l'email malveillant à la compromission totale",[16,318,319],{},"Pour comprendre l'urgence, voici le déroulé d'une attaque exploitant CVE-2023-21716 sur une PME non protégée :",[138,321,322,335],{},[141,323,324],{},[144,325,326,329,332],{},[147,327,328],{},"Heure",[147,330,331],{},"Ce qui se passe",[147,333,334],{},"Ce que voit l'utilisateur",[157,336,337,348,359,369,379,389,399],{},[144,338,339,342,345],{},[162,340,341],{},"09:15",[162,343,344],{},"Email reçu avec pièce jointe RTF",[162,346,347],{},"\"Facture corrigée\" d'un fournisseur",[144,349,350,353,356],{},[162,351,352],{},"09:16",[162,354,355],{},"Ouverture du fichier dans Word",[162,357,358],{},"Document vide ou contenu anodin",[144,360,361,363,366],{},[162,362,352],{},[162,364,365],{},"Exploitation de la faille, exécution de code",[162,367,368],{},"Rien de visible",[144,370,371,374,377],{},[162,372,373],{},"09:17",[162,375,376],{},"Téléchargement d'un outil de prise de contrôle à distance",[162,378,368],{},[144,380,381,384,387],{},[162,382,383],{},"09:30",[162,385,386],{},"L'attaquant explore le réseau interne",[162,388,368],{},[144,390,391,394,397],{},[162,392,393],{},"10:00",[162,395,396],{},"Accès au serveur de fichiers, exfiltration de données",[162,398,368],{},[144,400,401,404,407],{},[162,402,403],{},"14:00",[162,405,406],{},"Déploiement du ransomware sur tous les postes",[162,408,409],{},[20,410,411],{},"Tous les fichiers sont chiffrés",[16,413,414],{},"Tout cela en moins de 5 heures. Sans EDR, sans supervision, personne ne voit rien jusqu'à ce qu'il soit trop tard.",[11,416,418],{"id":417},"faq-patching-et-protection-des-pme","FAQ : patching et protection des PME",[420,421,423],"h3",{"id":422},"pourquoi-ne-pas-simplement-bloquer-les-fichiers-rtf","Pourquoi ne pas simplement bloquer les fichiers RTF ?",[16,425,426,427,430],{},"C'est effectivement une mesure temporaire recommandée par Microsoft. Mais bloquer les RTF ne résout qu'une seule faille. De nouvelles vulnérabilités dans Word, Excel, PowerPoint et Outlook sont découvertes ",[20,428,429],{},"chaque mois"," (en moyenne 10 à 15 failles critiques par Patch Tuesday). La seule solution viable à long terme est un patching automatisé et systématique couplé à un EDR.",[420,432,434],{"id":433},"mon-antivirus-ne-suffit-pas-à-me-protéger","Mon antivirus ne suffit pas à me protéger ?",[16,436,437,438,441,442,445,446,449],{},"Un antivirus traditionnel fonctionne par ",[20,439,440],{},"signatures"," : il ne détecte que les menaces déjà connues et référencées. L'exploitation de CVE-2023-21716 utilise des techniques d'évasion qui contournent les antivirus classiques. Un ",[244,443,444],{"href":270},"EDR"," analyse les ",[20,447,448],{},"comportements"," (Word qui lance PowerShell, par exemple) et bloque les actions suspectes même si la menace est inconnue.",[420,451,453],{"id":452},"combien-de-temps-faut-il-pour-déployer-le-patching-automatisé-sur-ma-pme","Combien de temps faut-il pour déployer le patching automatisé sur ma PME ?",[16,455,242,456,458,459,462],{},[244,457,247],{"href":246},", le déploiement de l'outil de gestion de parc et de patching automatisé prend ",[20,460,461],{},"1 à 2 jours ouvrés"," pour une PME de 10 à 50 postes. Aucune interruption de service n'est nécessaire. L'agent s'installe en arrière-plan et les premiers patchs sont déployés dès le soir même.",[250,464],{"link":252,"title":465},"Passez au patching automatisé pour votre PME",{"title":467,"searchDepth":468,"depth":468,"links":469},"",2,[470,471,472,473,474,475,476],{"id":13,"depth":468,"text":14},{"id":33,"depth":468,"text":34},{"id":92,"depth":468,"text":93},{"id":135,"depth":468,"text":136},{"id":256,"depth":468,"text":257},{"id":315,"depth":468,"text":316},{"id":417,"depth":468,"text":418,"children":477},[478,480,481],{"id":422,"depth":479,"text":423},3,{"id":433,"depth":479,"text":434},{"id":452,"depth":479,"text":453},"Cybersécurité","2023-03-06","La faille CVE-2023-21716 permet de prendre le contrôle d'un PC via un simple fichier Word.",false,"md",null,{"src":489,"alt":29},"\u002Fblog\u002Fcve-2023-21716.webp",{},true,"\u002Fblog\u002Fnouvelle-faille-securite-cve-2023-21716-microsoft-word",{"title":5,"description":484},"CVE-2023-21716 Microsoft Word : patching automatisé vital pour PME","blog\u002Fnouvelle-faille-securite-cve-2023-21716-microsoft-word","Rz0qW8SM7h2lTXcU0NkCSbOvNBxVvWKxEEAmDoP6JnU",[498,506,514],{"path":499,"title":500,"description":501,"image":502,"date":505,"category":482},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft","Patch Tuesday août 2026 : 398 failles et un zero-day Windows exploité par la Corée du Nord","Patch Tuesday août 2026 : Microsoft corrige environ 398 vulnérabilités dont un zero-day Windows déjà utilisé pour installer un rootkit. Ce qu'une PME doit traiter en priorité.",{"src":503,"alt":504},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft.webp","Patch Tuesday Microsoft août 2026, correctifs de sécurité pour PME","2026-08-11",{"path":507,"title":508,"description":509,"image":510,"date":513,"category":482},"\u002Fblog\u002Fcertification-iso-27001-retour-experience","Certification ISO 27001 : ce que trois démarches clients et la nôtre nous ont appris","Ce qui bloque une certification ISO 27001 n'est presque jamais technique. Retour d'expérience sur des démarches clients et sur la nôtre.",{"src":511,"alt":512},"\u002Fblog\u002Fcertification-iso-27001-retour-experience.webp","Deux professionnels examinent un tableau de bord de conformité ISO 27001 affichant des contrôles et leurs horodatages sur l'écran d'une salle de réunion","2026-08-07",{"path":515,"title":516,"description":517,"image":518,"date":521,"category":482},"\u002Fblog\u002Fpatch-tuesday-juillet-2026-microsoft","Patch Tuesday juillet 2026 : 570 failles, 3 zero-days exploités dont une RCE SharePoint à 9.8","Patch Tuesday juillet 2026 : Microsoft corrige environ 570 vulnérabilités et 3 failles déjà exploitées, dont une RCE SharePoint notée 9.8. Ce qu'une PME doit traiter en priorité.",{"src":519,"alt":520},"\u002Fblog\u002Fpatch-tuesday-juillet-2026-microsoft.webp","Patch Tuesday Microsoft juillet 2026, correctifs de sécurité pour PME","2026-07-14",1791790484015]