Depuis janvier, les organismes chargés de numéroter les failles de sécurité ont recensé plus de 100 000 nouvelles vulnérabilités, selon l’entreprise américaine VulnCheck, soit plus du double de toute l’année 2025. Et d’après elle, les chercheurs ont trouvé la plupart de ces failles avec l’aide de l’intelligence artificielle.
Les identifiants CVE sont délivrés par des organisations habilitées, dont VulnCheck, Microsoft, Oracle ou GitHub, et toutes travaillent à plein régime. Selon Josh Bressers, responsable de la divulgation coordonnée des vulnérabilités chez VulnCheck, « Il est indéniable que la recherche de vulnérabilités par l’IA est à l’origine de la majeure partie de ce que nous constatons ». Les pirates n’exploitent qu’une petite part de ces failles, autour de 1,4 %, une proportion stable. Mais, comme le rapporte The Register, à cette échelle, VulnCheck a ajouté cette année 1 363 failles à son catalogue des failles réellement exploitées.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Les pirates exploitent les nouvelles failles en quelques heures
Et les pirates s’emparent de ces failles de plus en plus vite. Selon VulnCheck, il fallait en 2025 une médiane de 120 jours entre la publication d’une faille et sa première exploitation, contre 80 jours au premier semestre 2026, et l’entreprise mesure un délai encore plus court depuis l’été.
VulnCheck a publié 14 failles dans le XWEB EVO, et les pirates exploitent deux d’entre elles. Les supermarchés pilotent avec ce boîtier de Dixell, vendu sous la marque Copeland, toute la réfrigération du magasin depuis l’arrière-boutique. Avec l’une de ces failles, un pirate prend le contrôle total de l’appareil, sans mot de passe, en une seule requête. Grâce à ses pièges à pirates (honeypots), VulnCheck a repéré une première tentative d’exploitation 1 h 40 après la mise en ligne des failles dans la base américaine NVD. Comme l’explique Josh Bressers, « dès qu’une information semble intéressante, quelqu’un s’en empare et tente de l’exploiter ».
Le CERT-FR a relevé des contrôleurs XWEB de Dixell dans les équipements compromis lors du sabotage des frigos de quelque 700 supermarchés français, que la France impute à une unité des Gardiens de la révolution iraniens. VulnCheck précise toutefois que les attaques repérées par ses pièges proviennent de pirates opportunistes, sans lien avec cette campagne. Copeland ne publie plus aucun correctif pour ces boîtiers depuis mars. Si vous gérez un commerce équipé d’un XWEB EVO, ne le laissez jamais accessible depuis Internet, placez-le derrière un VPN et prévoyez son remplacement.
Impossible de corriger toutes les failles à temps
En juillet, Microsoft signait le plus gros Patch Tuesday de son histoire, avec 622 failles corrigées. En novembre, l’éditeur a corrigé plus d’un millier de failles, après un mois d’octobre encore plus chargé. Au FIC de Lille, fin mars, Vincent Strubel, le directeur général de l’ANSSI, avait prévenu que la bataille des vulnérabilités était « en train d’être perdue ».
Aux États-Unis, l’agence de cybersécurité (CISA) a abandonné en juin les délais fixes de correction. Les organisations doivent corriger d’abord les failles exploitées par des pirates et celles des machines accessibles depuis Internet, au lieu de se fier au seul score de gravité CVSS. « Nous n’avons plus de problème de sécurité. Notre problème actuel est lié aux données », résume Josh Bressers, pour qui il faut repérer les failles qui vous touchent vraiment.
Les développeurs de logiciels libres reçoivent eux aussi des montagnes de rapports. Daniel Stenberg, qui maintient curl, l’outil libre de transfert de données, a fermé en janvier le programme de primes aux bogues du projet, parce que les rapports générés par IA submergeaient son équipe. Et depuis le 26 octobre, si vous signalez une faille de gravité faible ou moyenne dans curl, vous devez la publier directement sur le dépôt GitHub public du projet. L’équipe ne traite plus en privé que les failles critiques ou graves.
Josh Bressers s’attend à des résistances. « Lorsqu’un registre de paquets modifie radicalement quelque chose, les gens paniquent [...]. Personne ne veut se jeter à l’eau », regrette-t-il.
