Le rapport M-Trends 2026 de Mandiant place le délai moyen entre la divulgation d’une faille logicielle et sa première exploitation à environ moins sept jours. Ce chiffre négatif signifie que les attaquants exploitent désormais certaines vulnérabilités avant même la publication d’un correctif. La fenêtre dont disposaient les équipes de sécurité pour réagir, autrefois comptée en mois, s’est effondrée en quelques années.
Délai d’exploitation des failles : une trajectoire en chute libre depuis 2018
Les données longitudinales compilées par plusieurs analystes dessinent une courbe sans ambiguïté. Autour de 2018, le délai moyen entre la publication d’une vulnérabilité et son exploitation active atteignait plusieurs centaines de jours. Certaines estimations évoquent jusqu’à 756 jours pour les failles les plus lentes à être ciblées.
Ce délai est passé à quelques jours ou quelques heures entre 2023 et 2024, avant de basculer en territoire négatif en 2025-2026. Les synthèses de Hive Security, OSec et ReviveSec confirment cette contraction, chacune avec des méthodologies légèrement différentes mais des conclusions convergentes.
La bascule en territoire négatif change la nature du problème. Quand le délai était positif, la course opposait la rapidité du patch à celle de l’attaquant. Désormais, des failles sont exploitées avant qu’un CVE ne soit publié, ce qui rend le modèle classique de gestion des correctifs structurellement inadapté.
Exploitation pré-CVE : près d’un quart des failles touchées avant leur référencement
Les travaux de VulnCheck sur l’année 2025 montrent que près d’une vulnérabilité exploitée sur quatre présente des traces d’abus avant ou le jour même de la publication du CVE. Cette proportion est en hausse par rapport à 2024.
Ce constat fragilise une hypothèse répandue dans les équipes de sécurité : celle selon laquelle le flux CVE constitue un signal d’alerte suffisant. Si l’exploitation précède le référencement, les outils de détection qui s’appuient uniquement sur les bases de vulnérabilités publiques fonctionnent avec un temps de retard structurel.
Ce que cela implique pour la détection
Les organisations qui dépendent exclusivement d’un scanner de vulnérabilités adossé aux CVE publiés découvrent la menace après coup. Les approches complémentaires gagnent en pertinence :
- La surveillance comportementale du trafic réseau, capable de repérer des schémas d’exploitation inhabituels sans signature connue
- L’analyse de la composition logicielle (SCA) couplée à un SBOM, qui permet d’identifier les bibliothèques à risque avant qu’une faille ne soit officiellement documentée
- Le suivi des canaux de divulgation informels (forums, dépôts de code, bulletins de chercheurs) où les preuves de concept circulent parfois des jours avant le CVE
Intelligence artificielle et découverte de vulnérabilités : volume en hausse, taux d’exploitation stable
L’arrivée de systèmes d’IA spécialisés dans la recherche de failles alimente un débat sur l’effet net de ces outils. Selon VulnCheck, 1 061 vulnérabilités découvertes avec assistance IA ont été recensées au premier semestre 2026. Parmi elles, 14 ont été exploitées dans des attaques réelles, soit un taux de 1,3 %.
Ce taux correspond à celui observé pour l’ensemble des vulnérabilités publiées sur la même période. Les données disponibles ne permettent pas de conclure que l’IA augmente le risque individuel d’exploitation d’une faille. Elle augmente le volume de failles identifiées, pas la probabilité qu’une faille donnée soit exploitée.
Un défi de priorisation plus qu’un défi d’attaque
Des projets comme Glasswing (Anthropic) et MDASH (Microsoft) illustrent cette nouvelle génération d’outils. Leur capacité à détecter des défauts logiciels à grande échelle pose un problème concret aux équipes de sécurité : le flux de vulnérabilités à traiter croît plus vite que les effectifs.
Le risque n’est pas tant que ces failles soient toutes exploitées. Le risque est que les équipes, submergées par le volume, ne parviennent plus à distinguer les vulnérabilités critiques de celles qui resteront théoriques. La priorisation devient le goulot d’étranglement principal.
Failles logicielles et chaîne d’approvisionnement : l’effet domino des dépendances
Le cas Log4j a démontré comment une seule faille dans une bibliothèque open source largement utilisée peut se propager à travers la chaîne d’approvisionnement logicielle mondiale. Les vulnérabilités modernes exploitent rarement un logiciel isolé. Elles ciblent des composants enfouis dans des couches de dépendances que les développeurs ne maîtrisent pas toujours.
Cette réalité rend la notion de « patch rapide » plus complexe qu’elle ne paraît. Corriger une faille dans une bibliothèque tierce suppose d’abord de savoir qu’elle est présente dans son infrastructure, puis de vérifier la compatibilité du correctif avec l’ensemble de la pile logicielle.
- Les environnements cloud, où les dépendances sont particulièrement imbriquées, concentrent une part significative du risque systémique
- Les entreprises sans inventaire logiciel à jour (SBOM) découvrent souvent leur exposition après le début de l’exploitation
- Les correctifs de bibliothèques tierces dépendent du rythme de publication du mainteneur, pas de l’urgence perçue par l’utilisateur final
Un modèle de sécurité à reconstruire en amont
La stratégie dite « shift left », qui consiste à intégrer les contrôles de sécurité dès les premières phases du développement, gagne du terrain dans les organisations matures. L’idée n’est plus de corriger après déploiement, mais de détecter les composants vulnérables avant qu’ils n’atteignent la production.
Les retours terrain divergent sur ce point. Les équipes disposant de pipelines CI/CD outillés rapportent une réduction mesurable de leur exposition. D’autres, notamment dans des environnements legacy, peinent à intégrer ces contrôles sans ralentir significativement les cycles de livraison.
La compression du délai d’exploitation ne laisse plus de marge pour un traitement séquentiel des vulnérabilités. Les failles logicielles sont désormais exploitées dans un temps que les processus humains classiques ne peuvent plus suivre. La question n’est plus de savoir si une organisation sera ciblée, mais si son architecture de détection et de correction fonctionne à la vitesse requise par la menace actuelle.
