4 min de lecture<\/p>\n
Entre la divulgation d’une vuln\u00e9rabilit\u00e9 et son exploitation, il s’\u00e9coulait autrefois des semaines. Aujourd’hui, il ne s’agit souvent que de jours. Les attaquants utilisent l’IA pour r\u00e9duire encore cette fen\u00eatre, tandis que le nombre de vuln\u00e9rabilit\u00e9s publi\u00e9es augmente. Le State of Vulnerabilities Report 2026 analyse plus de 11 000 d\u00e9couvertes issues d’environnements clients en production. Sa conclusion principale : ce n’est pas la quantit\u00e9 de failles qui d\u00e9termine le risque, mais la rapidit\u00e9 avec laquelle les plus critiques sont corrig\u00e9es.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n \u00c0 lire aussi :<\/span>L’authentification multifacteur adaptative comme levier Zero Trust<\/a> \/<\/span> \u00c0 partir de quand le d\u00e9lai de notification commence \u00e0 courir<\/a><\/p>\n Le paysage des menaces s’est durci en 2025. Les attaquants utilisent l’IA pour r\u00e9duire le d\u00e9lai entre la divulgation d’une vuln\u00e9rabilit\u00e9 et son exploitation active. Rien que l’ann\u00e9e derni\u00e8re, le nombre de CVE publi\u00e9es \u00e0 l’\u00e9chelle du secteur a augment\u00e9 de 20 % pour d\u00e9passer les 48 000. Pour le State of Vulnerabilities Report 2026, plus de 11 000 vuln\u00e9rabilit\u00e9s issues des environnements clients de 2025 ont \u00e9t\u00e9 analys\u00e9es.<\/p>\n Ce rapport provient de Synack, un fournisseur de tests d’intrusion assist\u00e9s par l’IA. Son analyse se concentre moins sur le nombre absolu de d\u00e9couvertes que sur leur dynamique.<\/p>\n \u00ab Les r\u00e8gles ont chang\u00e9 en 2025. Le temps est d\u00e9sormais la plus grande vuln\u00e9rabilit\u00e9. Les attaquants trouveront toujours de nouvelles failles. Ce qui a chang\u00e9, c’est la vitesse \u00e0 laquelle ils les d\u00e9couvrent et les exploitent. \u00bb Le nombre total de vuln\u00e9rabilit\u00e9s d\u00e9couvertes est rest\u00e9 largement stable en glissement annuel. C’est leur r\u00e9partition qui a \u00e9volu\u00e9. Les failles de haute gravit\u00e9 ont augment\u00e9 de 10 %. La hausse la plus marqu\u00e9e concerne l’ex\u00e9cution de code \u00e0 distance, qui a bondi de 39 %. Les attaques par force brute ont progress\u00e9 de 17,4 %, et l’injection de contenu de 8 %.<\/p>\n Le rapport interpr\u00e8te cette tendance comme un basculement vers des attaques bas\u00e9es sur l’identit\u00e9. Cela corrobore l’observation selon laquelle les attaquants utilisent l’IA pour tester les contr\u00f4les d’acc\u00e8s \u00e0 grande \u00e9chelle. Pour les \u00e9quipes de s\u00e9curit\u00e9, le volume brut des failles importe donc moins. L’enjeu crucial est d\u00e9sormais d’identifier les vuln\u00e9rabilit\u00e9s qui ouvrent de r\u00e9els vecteurs d’attaque et celles qui doivent \u00eatre corrig\u00e9es en priorit\u00e9.<\/p>\n Vuln\u00e9rabilit\u00e9s par type en comparaison annuelle 2024 et 2025<\/p>\n\n
La fen\u00eatre de temps entre la faille et l’attaque se r\u00e9duit<\/h2>\n
\n
\n– Dr. Mark Kuhr, cofondateur et CTO, Synack<\/cite>\n<\/p><\/blockquote>\nLa structure des risques \u00e9volue<\/h2>\n