Code d'exploitation (exploit)

Une vulnérabilité est un défaut ; un code d'exploitation est l'outil qui le met en oeuvre. Il s'agit d'un programme, d'une séquence de commandes ou d'une donnée spécialement construite qui provoque, sur un système vulnérable, un comportement non prévu par ses concepteurs : exécution de code arbitraire, contournement d'une authentification, élévation de privilèges, déni de service. La distinction compte pour le souscripteur, parce que le risque réel ne suit pas la découverte d'une faille mais la disponibilité d'un code fiable pour l'exploiter. Tant qu'il n'en existe pas, seuls des acteurs très compétents peuvent l'employer ; dès qu'il est publié ou vendu, il est intégré en quelques jours aux outils automatiques et aux rançongiciels, et la faille devient un risque de masse. Il existe un marché de ces codes, des programmes de récompense des chercheurs aux courtiers qui revendent des failles inconnues à des États, et certains d'entre eux, développés par des services de renseignement, ont fui. C'est l'un des points où le cyber rejoint directement la politique : l'arsenal d'un État peut devenir l'outil d'une catastrophe mondiale.