Les logiciels n’ont jamais semblé aussi troués. Depuis le début de l’année, la National Vulnerability Database américaine a enregistré 45.207 failles de sécurité, soit presque autant que durant toute l’année 2025. Celle-ci avait pourtant déjà établi un record.
L’IA lâchée dans le code
À ce rythme, le total pourrait pratiquement doubler en un an. Les grands éditeurs enchaînent donc les mises à jour particulièrement copieuses. Oracle a corrigé 1.449 vulnérabilités en juillet, contre 309 un an plus tôt. Microsoft en a dévoilé 642, près de cinq fois plus qu’en juillet 2025. Google a fait encore plus fort avec Chrome : 433 failles bouchées lors d’une récente mise à jour, contre seulement 11 dans la livraison équivalente de l’an dernier. De quoi donner envie de redémarrer son navigateur un peu plus souvent.
Cette hausse spectaculaire ne signifie pas nécessairement que les logiciels sont devenus soudainement beaucoup plus dangereux. Elle montre surtout que les outils chargés de repérer les faiblesses ont fortement progressé. « Nous devons admettre que ces outils augmentent la capacité à trouver des vulnérabilités dans les logiciels », explique Gabriel Bernadett-Shapiro, chercheur chez SentinelOne, à Bloomberg.
Google évoque de son côté une vitesse et une échelle de détection « sans précédent », permises par les progrès de l’IA et par ses investissements dans ce domaine. La plupart des failles de Chrome ont d’ailleurs été découvertes par Google lui-même : 401 sur 433. Les éditeurs utilisent donc l’IA pour trouver les problèmes avant les attaquants, ce qui est plutôt la bonne nouvelle cachée derrière cette avalanche de correctifs.
Les modèles les plus avancés deviennent particulièrement doués à cet exercice. Anthropic affirme que son outil Mythos a trouvé des milliers de vulnérabilités lors de premiers tests. OpenAI proposer des systèmes comparables, et Microsoft vient de lancer MAI-Cyber-1-Flash pour aider les entreprises à gérer leurs failles. Mais voilà, les pirates profitent eux aussi de ces progrès. Le délai moyen entre la découverte d’une faille et son exploitation est passé de 72 heures en 2025 à seulement 24 heures cette année. Les administrateurs ont donc intérêt à ne pas remettre les mises à jour au lendemain.
Pour autant, l’apocalypse cyber n’est pas encore au programme. Le catalogue des vulnérabilités activement exploitées ne montre aucune hausse cette année. Beaucoup plus de failles sont découvertes, mais pas davantage sont utilisées dans de véritables attaques. Le danger se trouve surtout dans la vitesse : les failles sont détectées, analysées et potentiellement exploitées bien plus rapidement. Le nombre de trous augmente, mais c’est surtout le temps pour les boucher qui diminue.
🟣 Pour ne manquer aucune news sur le Journal du Geek, suivez-nous sur Google et sur notre canal WhatsApp. Et si vous nous adorez, on a une newsletter tous les matins.
