Le nombre de vulnérabilités publiées devrait approcher les 100 000 en 2026. Dans le même temps, les attaquants disposent de moyens toujours plus rapides pour exploiter les failles, parfois avant même la disponibilité des correctifs. Face à cette accélération, les entreprises doivent revoir leur manière de gérer les vulnérabilités. Ce sujet a été abordé par Cyberwatch lors des Assises de la cybersécurité 2026.
Pendant longtemps, la gestion des vulnérabilités a reposé sur un principe relativement simple : identifier les failles, évaluer leur criticité et déployer les correctifs dans les meilleurs délais. Cette approche se heurte aujourd'hui à deux difficultés. D'une part, le nombre de vulnérabilités publiées augmente à un rythme que les équipes de sécurité peinent à suivre. D'autre part, les délais d'exploitation se raccourcissent, au point que certaines failles sont désormais exploitées avant même qu'un correctif soit disponible.
L'intelligence artificielle facilite la recherche de vulnérabilités mais permet également de les exploiter plus rapidement. Ce qui oblige les entreprises à revoir leurs pratiques.
Julien Pierra, Pre-Sales Manager chez Cyberwatch, a animé le 8 octobre dernier, lors des Assises de la cybersécurité à Monaco, un atelier consacré à cette nouvelle équation : « Quand l'attaquant exploite plus vite que vous ne patchez ».
Près de cinq fois plus de vulnérabilités qu'en 2020
Les chiffres présentés lors de cet atelier donnent l’ampleur du phénomène. Au 28 septembre 2026, 71 339 vulnérabilités CVE avaient déjà été publiées depuis le début de l'année. À ce rythme, leur nombre pourrait approcher les 100 000 d’ici à fin décembre, contre environ 20 000 en 2020. Le seul mois de septembre a concentré près de 15 000 publications, tandis que le Patch Tuesday de Microsoft du même mois a porté sur 964 CVE.
Cette progression ne traduit pas une dégradation soudaine de la sécurité des logiciels. Les audits de code assistés par IA permettent notamment aux éditeurs d'identifier des vulnérabilités parfois présentes depuis plusieurs années, mais jusqu'alors passées inaperçues. Selon les données de VulnCheck, 24 des 30 principales autorités de numérotation des CVE (CNA) publient désormais nettement plus de vulnérabilités.
Toutes les vulnérabilités ne présentent pas le même risque
Faut-il pour autant considérer chacune de ces nouvelles CVE comme une urgence ? Les données d'exploitation invitent à relativiser ce point. La proportion de vulnérabilités ajoutées au catalogue KEV de la CISA, qui recense les failles dont l'exploitation a été observée, recule. Elle s'établissait à 0,45 % en 2024, 0,52 % en 2025 et 0,34 % en 2026.
Autrement dit, la multiplication des CVE ne se traduit pas mécaniquement par une augmentation équivalente du nombre de vulnérabilités activement exploitées.
Ce constat ne doit cependant pas masquer une autre évolution préoccupante : le temps dont disposent les défenseurs pour intervenir s'est considérablement réduit. En 2018 et 2019, un exploit apparaissait en moyenne 63 jours après la publication du correctif. Depuis 2024, l'exploit est bien souvent disponible avant le patch. L'IA abaisse aussi la barrière d'entrée. Certains agents IA seraient capables de produire des exploits fonctionnels avec seulement 91 lignes de code, pour un coût estimé à 8,80 dollars par exploit réussi.
Dans ces conditions, la stratégie « je patche tout, très vite » n'est plus tenable. Il est indispensable de prioriser les efforts.
Réduire la surface d'attaque avant de corriger les failles
La première réponse pour réduire la surface d’attaque consiste à durcir les systèmes. En effet, une configuration insuffisamment sécurisée peut faciliter l'exploitation d'une vulnérabilité et permettre à un attaquant de progresser dans le système d'information. À l'inverse, le durcissement réduit les possibilités d'exploitation et peut limiter les conséquences d'une intrusion, y compris lorsqu'aucun correctif n'est encore disponible.
Les mesures de sécurité définies dans les CIS Benchmarks couvrent ainsi 86 % des techniques répertoriées dans MITRE ATT&CK. Cyberwatch intègre cette dimension dans son module de conformité, qui permet de contrôler les configurations des actifs à partir des référentiels CIS, des recommandations de l'ANSSI ou de règles propres à l'entreprise. Les écarts identifiés sont accompagnés de scripts de remédiation pour chaque écart.
La criticité d'une faille ne suffit pas à définir l'urgence
Les scores CVSS, les probabilités d'exploitation fournies par EPSS ou les catalogues de vulnérabilités exploitées, comme CISA KEV et ceux des CERT, sont indéniablement utiles. Mais ils ne permettent pas, à eux seuls, d'apprécier le risque réel pour une organisation.
Une vulnérabilité critique sur un serveur isolé n'appelle pas nécessairement la même réponse qu'une faille moins sévère sur un équipement exposé à Internet ou situé au cœur du réseau. La priorité dépend donc aussi de la fonction de l'actif, de son exposition, de sa criticité dans la SI et de son niveau de durcissement.
C'est précisément l'approche défendue par Cyberwatch, qui enrichit les indicateurs techniques avec des éléments propres au contexte de chaque entreprise, notamment la criticité métier (CVSS-BTE) et la topologie du réseau.
Depuis la version 16 de sa plateforme, Cyberwatch propose une cartographie des flux destinée à identifier les actifs exposés à Internet et ceux qui occupent une position centrale dans le système d'information. Cette analyse permet de concentrer les efforts de remédiation sur un nombre beaucoup plus restreint d'actifs. Un assistant IA intégré à la plateforme, aide par ailleurs à construire le plan de remédiation.
Automatiser le patching tout en le ciblant
La priorisation ne résout toutefois qu'une partie du problème. Encore faut-il pouvoir déployer les correctifs rapidement. L’automatisation du patching apporte une réponse. Mais appliquer automatiquement un correctif sur un poste bureautique ou sur un serveur hébergeant une application métier critique ne présente évidemment pas les mêmes risques.
Cyberwatch recommande donc une automatisation du patching progressive, qui commence par les applications les moins critiques, par exemple 7-Zip, avant de s'étendre aux navigateurs, puis aux mises à jour Windows. Sa plateforme permet de gérer nativement les correctifs Linux, les mises à jour KB Windows et ceux d'une quarantaine d'applications Windows. Elle peut également s'interfacer avec des solutions de patch management tierces, notamment WAPT.
Cette approche vise à réduire le bruit et le volume des opérations à réaliser manuellement pour permettre aux équipes de sécurité de consacrer davantage de temps aux vulnérabilités qui nécessitent une analyse approfondie.
Revoir l'atelier en intégralité
L'atelier complet (45 minutes, sous-titré), questions du public comprises, est disponible en replay :
Vous souhaitez appliquer cette approche à votre parc ? Demandez une démo.
