L’OWASP Top 10 constitue depuis longtemps la référence absolue pour comprendre les risques de sécurité les plus critiques auxquels sont exposées les applications web. Lorsque l’OWASP a publié son édition 2025, les équipes de sécurité du monde entier y ont prêté attention. Aujourd’hui, nous sommes ravis d’annoncer que F5 Distributed Cloud Web App Scanning prend désormais entièrement en charge l’OWASP Top 10 2025, aidant ainsi les organisations à identifier et à corriger les vulnérabilités les plus importantes.
“F5 Distributed Cloud Web App Scanning couvre les 10 catégories de vulnérabilités critiques des applications web du Top 10 OWASP 2025.”
Quelles sont les nouveautés de l’OWASP Top 10 2025 ?
La mise à jour 2025 de l’OWASP Top 10 a analysé les données de plus de 2,8 millions d’applications fournies par des éditeurs de premier plan dans le domaine de la sécurité des applications web, en répartissant 248 Common Weakness Enumerations (CWE) entre les 10 catégories — une extension considérable par rapport aux éditions précédentes.
La mise à jour 2025 introduit deux catégories entièrement nouvelles et en regroupe d’autres, reflétant ainsi l’évolution du paysage des menaces. L’OWASP s’est efforcée de privilégier, dans la mesure du possible, les causes profondes plutôt que les symptômes, afin de rendre ses recommandations plus concrètes pour les équipes de développement.
Voici la liste complète du Top 10 OWASP 2025 :
- A01:2025 - Contrôle d’accès défaillant reste en tête du classement en tant que risque le plus grave pour la sécurité des applications. En moyenne, 3,73 % des applications testées présentaient une ou plusieurs des 40 CWE de cette catégorie. Il convient notamment de souligner que la falsification de requête côté serveur (SSRF), qui constituait auparavant une catégorie distincte classée 10e en 2021, a été intégrée à cette catégorie.
- A02:2025 - Mauvaise configuration de sécurité est passée de la 5e place en 2021 à la 2e. Les mauvaises configurations sont de plus en plus fréquentes, car l’ingénierie logicielle moderne repose davantage sur des comportements pilotés par la configuration. Selon l’OWASP, 3,00 % des applications testées présentaient des vulnérabilités dans cette catégorie.
- A03:2025 - Défaillances de la chaîne d’approvisionnement logicielle est une nouvelle catégorie qui élargit l’ancien groupe de risques « Composants vulnérables et obsolètes ». Elle englobe les compromissions touchant l’ensemble de l’écosystème des dépendances logicielles, des systèmes de compilation et de l’infrastructure de distribution. Bien qu’elle soit la moins représentée dans les données de test, elle affiche les scores moyens d’exploitabilité et d’impact les plus élevés.
- A04:2025 - Défaillances cryptographiques est passé de la 2e à la 4e place. Malgré ce changement de classement, 3,80 % des applications présentent encore des faiblesses cryptographiques susceptibles d’entraîner l’exposition de données sensibles ou la compromission du système.
- A05:2025 - Injection est passée de la 3e à la 5e place, bien qu’elle reste l’une des catégories les plus testées et comptant le plus grand nombre de CVE associées. Cette catégorie couvre aussi bien le cross-site scripting que l’injection SQL.
- A06:2025 - Conception non sécurisée est passée de la 4e à la 6e place. Introduite en 2021, cette catégorie a connu une nette amélioration à mesure que le secteur adopte la modélisation des menaces et les pratiques de conception sécurisée.
- A07:2025 - Défaillances d’authentification conserve sa position, avec une légère modification de son intitulé, qui passe de « Défaillances d’identification et d’authentification » à « Défaillances d’authentification ». L’adoption croissante de cadres d’authentification standardisés semble réduire le nombre d’occurrences.
- A08:2025 - Défaillances de l’intégrité des logiciels ou des données reste en 8e position et porte sur les défaillances liées au maintien des frontières de confiance et à la vérification de l’intégrité des logiciels, du code et des artefacts de données.
- A09:2025 - Défaillances de la journalisation et des alertes de sécurité conserve sa position, mais change de nom afin de mettre l’accent sur les alertes. Comme le souligne l’OWASP, une excellente journalisation sans alertes n’est guère utile pour détecter les incidents de sécurité.
- A10:2025 - Mauvaise gestion des conditions exceptionnelles est une nouvelle catégorie regroupant 24 CWE axées sur la gestion incorrecte des erreurs, les erreurs logiques, les défaillances en mode ouvert et d’autres scénarios découlant de conditions anormales.
Comment F5 Distributed Cloud Web App Scanning répond au Top 10 OWASP 2025
Distributed Cloud Web App Scanning couvre les 10 catégories, avec 50 classes de tests associées au nouveau référentiel.
Pour les catégories principales, qui comprennent les contrôles d’accès défaillants, les erreurs de configuration de sécurité, les défaillances cryptographiques, les injections, la conception non sécurisée, les défaillances d’authentification et les défaillances d’intégrité des logiciels ou des données, notre scanner offre des capacités de détection complètes.
Ces catégories bénéficient de suites de tests éprouvées, perfectionnées au fil de plusieurs années d’analyses en conditions réelles. Nous avons également ajouté de nouveaux tests afin de tenir compte de l’évolution du périmètre de chaque catégorie dans la dernière édition. Par exemple, la catégorie « Contrôle d’accès défaillant » englobe désormais la falsification de requête côté serveur (SSRF), qui constituait auparavant une catégorie distincte, tandis que la catégorie « Mauvaise configuration de sécurité » a été élargie pour prendre en compte la complexité croissante des environnements pilotés par la configuration.
Certaines catégories nouvelles ou élargies du nouveau Top 10 de l’OWASP, telles que les défaillances de la chaîne d’approvisionnement logicielle (A03:2025), dépassaient le cadre de notre détection existante des dépendances vulnérables. Nous avons donc ajouté des tests portant sur les systèmes non corrigés et les composants mal configurés que les attaquants exploitent fréquemment lors d’attaques contre la chaîne d’approvisionnement.
Défaillances de la journalisation et des alertes (A09:2025) est une catégorie renommée qui met désormais l’accent sur les alertes en plus de la journalisation. Nos nouveaux tests permettent d’identifier les lacunes dans la surveillance des événements de sécurité susceptibles de retarder la détection des incidents.
Pour la nouvelle catégorie, Mauvaise gestion des conditions exceptionnelles (A10:2025), nous avons introduit des tests portant sur l’exposition de données sensibles dans les messages d’erreur, l’absence de pages d’erreur personnalisées et la gestion incorrecte des paramètres inattendus, autant de situations courantes dans lesquelles les applications révèlent involontairement des informations aux attaquants.
Pourquoi est-ce important pour votre programme de sécurité ?
Les référentiels de conformité, les normes relatives aux tests d’intrusion et les évaluations de sécurité font fréquemment référence au Top 10 de l’OWASP. Grâce à notre scanner mis à jour, les organisations peuvent plus facilement rester en conformité avec les normes actuelles. Les rapports de sécurité associent désormais les résultats aux catégories de 2025, ce qui facilite la communication des risques aux parties prenantes et permet de démontrer la conformité aux référentiels qui font référence à l’OWASP.
Les organisations peuvent également hiérarchiser plus efficacement les mesures de remédiation des risques. Le Top 10 de l’OWASP reflète des schémas d’attaque réels, établis à partir de tests menés sur des millions d’applications. En concentrant leurs efforts de remédiation sur ces catégories, les équipes traitent les vulnérabilités les plus susceptibles d’être exploitées.
Il est également important que les organisations traitent les risques émergents de manière proactive, avant que les cybercriminels ne passent à l’action. De nouvelles catégories, telles que les défaillances de la chaîne d’approvisionnement logicielle, mettent en évidence des vecteurs d’attaque qui se sont considérablement développés ces dernières années. Malgré des données de test limitées, les vulnérabilités de la chaîne d’approvisionnement présentent les scores d’exploitabilité et d’impact les plus élevés ; notre scanner permet de détecter ces risques avant que les attaquants ne les exploitent.
Bien démarrer
Les clients actuels de Distributed Cloud Web App Scanning bénéficieront automatiquement de la mise à jour des correspondances avec l’OWASP Top 10 2025 dans les résultats de leurs analyses. Aucune modification de la configuration n’est nécessaire : il leur suffit d’exécuter leurs analyses comme d’habitude et d’examiner les résultats classés selon le nouveau référentiel.
Pour les organisations utilisant des déploiements sur site, des images Docker mises à jour intégrant l’ensemble de la suite de tests OWASP Top 10 2025 sont disponibles.
Si vous découvrez Distributed Cloud Web App Scanning, c’est le moment idéal pour évaluer comment les tests dynamiques de sécurité des applications peuvent renforcer votre posture de sécurité. Notre scanner associe une détection complète des vulnérabilités à la simplicité d’une plateforme SaaS entièrement gérée, aidant ainsi les équipes de sécurité à protéger leurs applications sans la charge opérationnelle qu’impliquent les outils traditionnels de test dynamique de sécurité des applications (DAST).
Pour en savoir plus sur F5 Distributed Cloud Web App Scanning et ses fonctionnalités relatives au Top 10 2025 de l’OWASP, consultez notre page produit ou contactez notre équipe pour planifier une démonstration.
À propos de l’auteur
Articles de blog associés
F5 rejoint le projet PQC du NIST pour contribuer à l’élaboration de normes résistantes aux attaques quantiques
En rejoignant le consortium du projet « Migration to PQC » du NIST, F5 contribue à élaborer des recommandations pratiques pour un monde résistant aux menaces quantiques.
La dernière version de F5 Distributed Cloud Bot Defense offre des fonctionnalités et des améliorations de nouvelle génération
Les mises à jour de la console de F5 Distributed Cloud Bot Defense améliorent la gestion des menaces automatisées et l’intégration dans des cadres de sécurité plus larges.
La nouvelle surface de risque liée à l’IA : invisible, autonome et déjà à l’intérieur
James White, vice-président de l’ingénierie chez F5 À mi-parcours de l’année 2025, le moment est bien choisi pour dresser un état des lieux de l’adoption de l’IA en entreprise et de la sécurité de l’IA. L’utilisation de l’IA générative est désormais la norme dans les entreprises De manière générale, les entreprises possèdent au moins une compréhension élémentaire de l’IA générative. Elles savent ce qu’elle est et où elle peut […]
Évaluation des LLM : renforcer la confiance grâce à la notation de sécurité
À mesure que l’adoption de l’IA s’accélère dans les entreprises, l’évaluation des LLM ne porte plus uniquement sur leurs performances, mais aussi sur la confiance qu’ils inspirent. Les équipes de sécurité doivent évaluer non seulement les performances d’un modèle, mais aussi la sûreté de son comportement. Pourtant, la plupart des cadres d’évaluation se concentrent sur des critères de précision, laissant les facteurs de sécurité et de risque dans le flou ou sans mesure.
Évaluer le niveau de préparation de votre organisation à la sécurité de l’IA
Dans un paysage de l’intelligence artificielle (IA) en constante évolution, il est non seulement important, mais impératif de savoir si votre organisation est prête à instaurer et à soutenir une culture de la sécurité de l’IA. À mesure que les technologies d’IA progressent, elles font émerger une multitude de nouveaux défis de sécurité qui, pour être gérés efficacement, exigent une approche réfléchie, globale et proactive […]
Déployer des LLM en entreprise : via une API dans un cloud privé
Pris isolément, sans mesures de protection spécialisées ni protocoles de sécurité en place, le déploiement de modèles d’IA générative (GenAI), en particulier de grands modèles de langage (LLM), à l’échelle de l’entreprise représente pour toute organisation une opportunité à haut risque, mais potentiellement très rentable. La manière précise dont votre organisation doit franchir ce grand pas dans l’univers de la GenAI nécessite une planification mûrement réfléchie. Peut-être serait-il […]