TL;DR : L’essentiel
- La plateforme VulnCheck a recensé 100’222 identifiants CVE le 13 novembre 2026 sous l’effet de l’automatisation.
- La CISA demande aux organisations de prioriser les correctifs selon l’exposition réelle plutôt que par gravité théorique.
- Les projets open source comme curl ou Open VSX modifient leurs règles face à l’afflux de signalements générés par des agents.
Le nombre de vulnérabilités logicielles publiées en 2026 a dépassé 100’000 le vendredi 13 novembre 2026, selon The Register. La plateforme VulnCheck a comptabilisé 100’222 identifiants CVE à cette date, soit plus du double du total de toute l’année 2025. Microsoft a ajouté 1’094 failles à ce bilan lors du mardi de correctifs précédent, après 1’474 signalements le mois d’avant. L’utilisation de l’intelligence artificielle pour chercher des bugs alimente la majorité de cette hausse chez les organismes chargés de répertorier les failles, comme GitHub ou Oracle.
Cette accélération réduit le délai dont disposent les organisations pour installer les mises à jour avant une attaque. Au premier semestre 2026, le temps médian entre la publication d’une faille et sa première exploitation est tombé à 80 jours, contre 120 jours en 2025. CrowdStrike a observé que près de 88% des attaques utilisant un exploit public surviennent dans les 48 heures suivant sa diffusion. Certains groupes liés à la Chine, comme Vault Panda et Genesis Panda, lancent leurs offensives en moins de 24 heures. VulnCheck a même détecté des tentatives d’intrusion quelques minutes après la divulgation de 14 failles touchant des régulateurs de réfrigération Copeland.
Les équipes sécurité ne peuvent plus traiter toutes les alertes critiques en même temps face à ce volume de données. En juin 2026, la CISA a publié une directive demandant de prioriser les correctifs selon l’exposition sur internet et l’exploitation active, plutôt que sur le seul score de gravité. Les projets open source subissent aussi cette pression. Le mainteneur du projet curl a fermé son programme de primes en 2026 et publie directement sur GitHub les rapports de gravité faible ou moyenne depuis le 26 octobre 2026. De son côté, la Fondation Eclipse a lancé une offre payante en avril 2026 pour financer la maintenance de son registre Open VSX face aux requêtes massives d’agents automatisés.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Une lecture utile ?
Un café, c'est une façon simple de dire merci pour la veille. Sans abonnement, sans engagement.
