Les vulnérabilités open source représentent 82 % des failles de sécurité critiques dans les banques, les services financiers et les compagnies d’assurance
BURLINGTON, Massachusetts–(BUSINESS WIRE)–Veracode, leader mondial de la gestion des risques liés aux applications, a publié aujourd’hui son rapport 2025 State of Software Security (SoSS) Snapshot for the Financial Services Sector. Cette analyse révèle que près des deux tiers (63 %) des établissements bancaires, des services financiers et des assurances (BFSI) présentent des failles de sécurité critiques, c’est-à-dire des failles graves non corrigées depuis plus d’un an, soit un taux supérieur de 13 points de pourcentage à la moyenne intersectorielle.
« La confiance est essentielle dans le secteur des services financiers, mais nos données révèlent un risque silencieux et croissant pour le secteur, créé par une dette de sécurité non résolue », déclare Chris Wysopal, cofondateur et ambassadeur en chef de la sécurité chez Veracode. « Avec la multiplication des attaques basées sur l’IA et le renforcement des exigences de conformité, les responsables financiers doivent donner la priorité à la réduction stratégique des risques, en commençant par la correction ciblée des failles logicielles critiques. »
Les chercheurs de Veracode indiquent que 77 % des organisations de services financiers accumulent un certain niveau de dette de sécurité. Avec une demi-vie moyenne des failles de 276 jours, soit le temps nécessaire pour corriger 50 % de toutes les vulnérabilités, le secteur met près d’un mois de plus que les autres industries pour résoudre les problèmes de sécurité. Malgré des progrès modestes dans la réduction des failles graves, les avancées sont au point mort, car les applications plus anciennes et plus volumineuses du secteur continuent d’accumuler des risques de sécurité non résolus.
La dépendance à l’open source amplifie l’exposition
Le rapport révèle que la chaîne d’approvisionnement reste une source majeure de risques. Si le code tiers ne représente que 17 % de la dette de sécurité totale, il représente plus de 82 % de la dette de sécurité critique des entreprises financières. Les failles open source nécessitant 50 % de temps supplémentaire pour être corrigées par rapport au code propriétaire, les organisations sont confrontées à une exposition croissante dans un contexte de pression réglementaire accrue. L’évaluation proactive des bibliothèques open source et l’évitement des composants présentant des failles connues réduisent considérablement l’exposition et les risques à long terme pour l’ensemble des applications.
Leaders vs retardataires : comparaison de la maturité en matière de sécurité des applications
Le rapport compare les entreprises BFSI les plus performantes aux organisations les moins performantes. Les leaders du secteur corrigent plus de 9 % des failles ouvertes chaque mois et limitent la dette de sécurité à moins de 26 % des applications, tandis que les retardataires ont une dette dans 85 % ou plus de leurs applications et étendent les cycles de correction au-delà d’un an. Cet écart souligne l’importance d’une analyse continue du code, d’une correction rapide et d’une hiérarchisation contextuelle des risques à l’aide d’outils modernes basés sur l’IA.
Chris Wysopal conclut : « Ce rapport fournit aux responsables financiers les données dont ils ont besoin pour évaluer les progrès réalisés et cibler plus efficacement les ressources. En comprenant où se concentrent les risques critiques liés à l’open source et aux systèmes hérités, les organisations peuvent aller au-delà de la simple recherche de failles pour corriger de manière stratégique les problèmes les plus critiques, ce qui leur permet de protéger leurs clients tout en innovant en toute sécurité et en toute confiance. »
Le rapport Veracode 2025 State of Software Financial Services Snapshot est disponible sur le site Web de Veracode.
À propos du rapport State of Software Security
Le Veracode State of Software Security 2025 en est le 15e volume du rapport. Il analyse les données provenant d’entreprises de toutes tailles, de fournisseurs de logiciels commerciaux, de sous-traitants informatiques et de projets open source. Le rapport présente des conclusions sur les applications ayant été soumises à une analyse statique, une analyse dynamique, une analyse de la composition logicielle et/ou des tests d’intrusion manuels via la plateforme cloud de Veracode. Plus précisément, les données proviennent de :
1,3 million d’applications uniques avec 126,4 millions de résultats bruts
107,4 millions de résultats identifiés via des analyses SAST
3,9 millions de résultats identifiés via des analyses DAST
15 millions de résultats identifiés via l’analyse de la composition des logiciels
À propos de Veracode
Veracode est un leader mondial de la gestion des risques applicatifs à l’ère de l’IA. Alimentée par des billions de lignes de scans de code et un moteur de remédiation propriétaire assisté par IA, la plateforme Veracode bénéficie de la confiance d’organisations du monde entier pour construire et maintenir des logiciels sécurisés, de la création du code au déploiement dans le cloud. Des milliers d’équipes de développement et de sécurité parmi les plus importantes au monde utilisent Veracode chaque seconde de chaque jour pour obtenir une visibilité précise et exploitable des risques d’exploitation, remédier en temps réel aux vulnérabilités et réduire leur dette de sécurité à grande échelle.
Veracode est une société plusieurs fois primée qui offre des capacités pour sécuriser l’ensemble du cycle de vie du développement logiciel, y compris Veracode Fix, l’analyse statique, l’analyse dynamique, l’analyse de la composition de logiciels, la sécurité des conteneurs, la gestion de la posture de sécurité des applications, la détection des paquets malveillants et les tests de pénétration.
Pour en savoir plus, rendez-vous sur www.veracode.com, le blog Veracode, LinkedIn et X.
Le texte du communiqué issu d’une traduction ne doit d’aucune manière être considéré comme officiel. La seule version du communiqué qui fasse foi est celle du communiqué dans sa langue d’origine. La traduction devra toujours être confrontée au texte source, qui fera jurisprudence.
Contacts
Médias :
Katy Gwilliam
Responsable de la communication mondiale, Veracode
kgwilliam@veracode.com