La chasse aux bugs alimentée par l'IA double le volume de CVE et recentre les priorités sur les correctifs

Explosion des CVE à l’ère de l’IA

La base de données publique CVE, gérée par CVE.icu, répertoriait 66 401 entrées le 16 septembre 2026. À la même date en 2025, le total était de 33 512, selon les chiffres publiés par Wired. Cette progression équivaut à une quasi‑doublure du nombre de vulnérabilités divulguées en l’espace d’une année.

L’augmentation spectaculaire est largement imputée à des agents autonomes capables d’analyser à grande échelle des bases de code, des binaires et des dépôts open‑source. L’organisme de coordination des identifiants de vulnérabilités, FIRST, estime que le nombre total de CVE pour l’ensemble de 2026 atteindra environ 66 000 et attribue explicitement une partie de cet accélération aux outils pilotés par l’intelligence artificielle.

Moteurs de la croissance

Outre l’impact de l’IA, la hausse reflète un effet de rattrapage : de nombreuses failles anciennes, qui n’avaient jamais été consignées, sont désormais cataloguées rétroactivement. De nouvelles sources de conseils, comme GitHub Security Advisories et VulnCheck, élargissent également la couverture des vulnérabilités détectées.

Mozilla a annoncé que sa campagne de sécurité récente, soutenue par le modèle Mythos d’Anthropic, a permis de découvrir 271 vulnérabilités dans le navigateur Firefox. Cette initiative illustre la façon dont les grands modèles de langage peuvent renforcer le fuzzing traditionnel ainsi que les revues de code manuelles.

Production de correctifs en phase

Face à l’afflux de nouvelles entrées CVE, les éditeurs intensifient la publication de correctifs. Microsoft a diffusé 974 correctifs en septembre 2026, Oracle a délivré 1 448 mises à jour en juillet 2026, et Google a lancé deux versions majeures de Chrome en juin 2026, totalisant 1 072 correctifs, comme le rapporte Wired.

• Microsoft – 974 correctifs (septembre 2026)
• Oracle – 1 448 correctifs (juillet 2026)
• Google Chrome – 1 072 correctifs (juin 2026)
• Mozilla – 271 vulnérabilités découvertes via Mythos

Ces chiffres montrent que, bien que la découverte de vulnérabilités s’accélère, la remédiation reste un processus gourmand en ressources humaines. La coordination des divulgations, les tests de correctifs et leur déploiement auprès des utilisateurs finaux dépendent toujours d’ingénieurs qualifiés et d’équipes de réponse bien orchestrées.

Risques opérationnels du fossé découverte‑remédiation

Le principal danger pour les organisations n’est pas le nombre absolu de CVE, mais le délai qui s’écoule entre la détection automatisée et la mise en production du correctif. Un arriéré de vulnérabilités non traitées augmente la fenêtre d’exposition des actifs critiques et expose les entreprises à des attaques potentielles.

Par ailleurs, le volume plus important de failles connues alourdit la charge de travail des centres d’opérations de sécurité, qui doivent trier les alertes, vérifier l’exploitabilité et prioriser la remédiation sous des délais de plus en plus serrés.

Même si la proportion de CVE activement exploités ou à haute sévérité ne représente qu’une fraction du total, la pression exercée sur les mainteneurs pour valider, coordonner et livrer les correctifs s’est intensifiée, mettant à rude épreuve les effectifs de sécurité existants.

Le tableau de bord CVE.icu, actualisé toutes les six heures et contenant plus de 300 000 entrées couvrant vingt‑huit ans d’histoire, offre une visibilité quasi‑temps réel. Il souligne toutefois l’ampleur croissante de l’écosystème des vulnérabilités et la nécessité d’outils de suivi performants.

Stratégies d’adaptation pour les acteurs francophones

Pour les organisations francophones, le virage stratégique consiste à réorienter les investissements des solutions purement axées sur la détection vers des plateformes d’automatisation de la gestion des correctifs. Il s’agit notamment d’intégrer des pipelines d’intégration continue capables d’exécuter des tests rapides et de coordonner étroitement les avis des éditeurs.

Construire la résilience aujourd’hui implique de s’assurer que les capacités humaines et les processus de déploiement des correctifs puissent suivre le rythme de découverte imposé par l’IA. Sans cette adéquation, le risque d’accumulation de vulnérabilités non traitées pourrait compromettre la sécurité des systèmes critiques.

En conclusion, la doublement du volume de CVE lié à l’IA impose aux éditeurs et aux équipes de sécurité de repenser leurs priorités, d’accélérer les cycles de remédiation et de renforcer la coopération internationale afin de maîtriser la nouvelle dynamique de la découverte de vulnérabilités.