Cybermenaces 2026 en chiffres bruts : une nouvelle vulnérabilité toutes les 6 minutes, l’exploit avant la sortie du patch

En 2018, il s’écoulait en moyenne 63 jours entre la divulgation publique d’une vulnérabilité et la première attaque. Aujourd’hui, ce chiffre est de moins sept. Non, ce n’est pas une coquille — en moyenne, les attaquants commencent à exploiter une faille une semaine avant que l’éditeur ne publie son correctif. Et pendant ce temps, le monde ajoute au catalogue public une nouvelle vulnérabilité en moyenne toutes les 6 minutes. 💥

Dans mon travail, je jette souvent un œil aux rapports de threat intelligence — en partie parce que ça fait partie du job, en partie par curiosité professionnelle. Et depuis un bon moment, j’avais l’impression que les chiffres qui en ressortent ne s’assemblent pas en une image cohérente dans la tête des gens. Parce que chacun circule séparément : ici quelqu’un poste un graphique de CVE, là quelqu’un balance un pourcentage de phishing généré par IA. J’ai donc décidé de rassembler en un seul endroit les données qui montrent le mieux à quel point le terrain de jeu a changé — combien de vulnérabilités nous détectons, à quelle vitesse elles deviennent des armes, combien de failles les géants corrigent, combien de nouvelles erreurs nous produisons nous-mêmes, et ce que l’IA ajoute à tout ça.

J’aborde le sujet avec une rigueur académique : chaque chiffre a ici sa source et son année. Et à la fin — six conclusions qui découlent directement de ces données pour ton entreprise.

Sommaire

1. Combien de vulnérabilités nous détectons — et pourquoi le record tombe chaque année
2. Le temps entre vulnérabilité et attaque : de 63 jours à moins sept
3. Les attaques par des failles logicielles explosent : de 14% à 31% des intrusions en deux ans
4. Combien de failles corrigent les géants — Microsoft, Google et compagnie
5. D’où viennent toutes ces erreurs ? L’IA écrit du code plus vite qu’on ne le sécurise
6. Nouvelles menaces IA : phishing, deepfakes et intrusions en pilote automatique
7. La Pologne en chiffres : plus de 700 incidents par jour
8. Qu’en faire — 6 mesures qui découlent directement des données
9. FAQ

Combien de vulnérabilités nous détectons — et pourquoi le record tombe chaque année

Courte explication pour les non-techniques : CVE, c’est le catalogue public et mondial des vulnérabilités — chaque faille logicielle divulguée reçoit son numéro (p. ex. CVE-2026-12345), pour que tout le monde parle de la même erreur dans le même langage.

Et ce catalogue grossit à un rythme que j’aurais encore qualifié d’absurde il y a cinq ans :

• 2022 : 25 084 nouvelles vulnérabilités
• 2023 : 29 066 (+16%)
• 2024 : 40 313 (+39%)
• 2025 : 48 449 (+20%)
• 2026, au 19 août : déjà 53 803 — plus que sur toute l’année record 2025, quatre mois et demi avant la fin de l’année. C’est précisément cette fameuse nouvelle vulnérabilité toutes les 6 minutes.

(Chiffres de cvedetails.com, selon les dates de publication dans la base NVD, au 19.08.2026. D’autres méthodologies — p. ex. le « CVE Data Review » annuel de Jerry Gamblin — donnent des valeurs qui diffèrent de moins de 1% ; la direction est partout la même.)

FIRST — l’organisation qui développe notamment le système d’évaluation du risque des vulnérabilités — prévoyait 59 400 nouvelles CVE pour 2026, avant de relever sa prévision à ~66 000 en juin. Parmi les raisons, elle cite explicitement la découverte de vulnérabilités assistée par IA. Petite honnêteté de chroniqueur, pour que les chiffres ne se contredisent pas : la prévision date de juin, avant l’accélération de l’été, et le compteur de 53 800, c’est l’état au 19 août — pas la fin de l’année. Au rythme actuel (plus de 230 nouvelles CVE par jour), 2026 se terminerait plutôt autour de 85 000. Les prévisions ne suivent tout simplement plus la réalité. Ajoute à cela une anecdote du genre « on est passé à deux doigts de la catastrophe » : en avril 2025, le programme CVE a failli s’arrêter à cause de l’expiration du financement de MITRE — le contrat a été prolongé littéralement la nuit précédant l’échéance. L’Europe en a tiré la leçon et l’ENISA a lancé sa propre base EUVD, qui fonctionne sous le parapluie de NIS2.

Maintenant, le plus important, pour ne pas céder à la panique : de cette avalanche, seule une fraction est activement exploitée. L’étude du Cyentia Institute et de FIRST montre qu’environ 6% de toutes les CVE publiées présentent une quelconque trace d’exploitation dans des attaques. Sur les 35 000 vulnérabilités du premier semestre 2026, la liste des failles activement exploitées (le catalogue KEV de la CISA américaine — j’y reviens dans un instant) en a retenu… 85, soit 0,24%.

Leçon n° 1 : Personne — ni toi, ni une multinationale avec un millier d’admins — ne corrigera 48 000 failles par an. Et personne n’en a besoin. Le gagnant n’est pas celui qui patche tout, mais celui qui sait lesquelles de ses failles sont réellement attaquées et ferme celles-là en premier. Le problème, c’est qu’il reste de moins en moins de temps pour décider — on y vient.

Le temps entre vulnérabilité et attaque : de 63 jours à moins sept

Le time-to-exploit (TTE), c’est le temps moyen entre la divulgation publique d’une vulnérabilité et sa première exploitation dans une attaque réelle. Google Mandiant le mesure depuis des années, et cette série de données est pour moi le graphique le plus important de toute l’industrie :

• 2018–2019 : 63 jours
• 2020–mi-2021 : 44 jours
• 2021–2022 : 32 jours
• 2023 : 5 jours
• 2024 : −1 jour
• 2025 : environ −7 jours (estimation du rapport M-Trends 2026)

Comment un temps peut-il être négatif ? C’est simple et inquiétant à la fois : une part croissante des vulnérabilités exploitées sont des zero-days — des failles que l’attaquant trouve et exploite avant même que l’éditeur en connaisse l’existence, donc avant qu’il n’existe le moindre correctif. Le Google Threat Intelligence Group a recensé en 2025 90 zero-days exploités dans des attaques (78 un an plus tôt), avec une part record de 48% de produits d’entreprise — dont, ironie du sort, des systèmes de sécurité : VPN, firewalls et autres équipements en bordure de réseau.

Le zero-day n’est d’ailleurs pas la seule raison. Il y a aussi le patch gapping : dans les projets open source, le correctif est parfois visible dans le dépôt public du code plusieurs jours avant la sortie officielle — les attaquants comparent les changements, en reconstituent le bug et écrivent un exploit avant même que les utilisateurs ne reçoivent la mise à jour (c’est arrivé de manière classique avec le moteur V8 de Chrome). Ajoute à cela le processus même de divulgation coordonnée : avant que le correctif ne sorte, la faille est déjà connue du chercheur qui l’a signalée, de l’équipe de l’éditeur, parfois de partenaires prévenus en avant-première — et chacun de ces maillons a déjà été à l’origine d’une fuite. Et l’éditeur apprend souvent l’existence de la vulnérabilité précisément parce que quelqu’un a détecté une attaque en cours — le correctif et le numéro CVE ne naissent qu’à ce moment-là, donc la date de première exploitation tombe par définition avant le « jour zéro ».

Et une fois le correctif publié ? Pas de répit non plus :

• Selon VulnCheck, 29% des vulnérabilités avec exploitation confirmée en 2025 ont été attaquées le jour de la publication de la CVE, voire avant.
• Palo Alto Unit 42 observe des scans d’internet à la recherche de systèmes vulnérables dans le quart d’heure suivant l’annonce d’une CVE.
• Mon exemple préféré à l’échelle « humaine » : Cloudflare a enregistré des tentatives d’attaque sur une faille toute fraîche de JetBrains TeamCity 22 minutes après la publication du code proof-of-concept. En 22 minutes, tu n’as même pas le temps de tenir une réunion de suivi, alors déployer un correctif…
• Pour les équipements en bordure de réseau (VPN, firewalls — tout ce qui « dépasse » vers internet), le Verizon DBIR donne une médiane du temps avant exploitation massive de 0 jour.

De l’autre côté de la barricade, le rythme ressemble à ça : le temps médian pour corriger complètement une vulnérabilité de la liste des failles activement exploitées est en entreprise de 43 jours (DBIR 2026) — et seules 26% de ces vulnérabilités sont ne serait-ce qu’entièrement corrigées. Résultat ? Dans le rapport DBIR de cette année, l’exploitation de vulnérabilités est devenue, pour la première fois en 19 ans d’histoire de l’étude, le vecteur numéro 1 d’accès initial aux entreprises (31% des intrusions), détrônant les mots de passe volés.

Et encore une vitesse, après l’intrusion cette fois : CrowdStrike a mesuré le breakout time moyen — le temps qu’il faut à l’attaquant pour « se propager » dans le réseau depuis la première machine compromise — à 29 minutes en 2025. Le record : 27 secondes.

Tu veux observer ça en direct ? Va voir zerodayclock.com — un dashboard qui agrège les données de plus de 3 500 vulnérabilités réellement exploitées (CISA KEV + VulnCheck). C’est une mesure indépendante de celle de Mandiant, sur un autre échantillon et avec une autre méthodologie — et elle montre exactement la même direction : pour les vulnérabilités de 2018, le temps moyen avant attaque y était de 2,3 ans ; pour celles de 2026, il est déjà de moins 23 heures (au 19.08.2026). La médiane a crevé les seuils de la semaine et du jour, et le seuil de l’heure devrait tomber vers 2027. L’horloge tourne de plus en plus vite — littéralement.

Leçon n° 2 : La « fenêtre de patching » en tant que concept a cessé d’exister. En moyenne, l’attaque commence avant le correctif, et les entreprises corrigent en semaines ce qui est attaqué en minutes. C’est pourquoi, à côté du plan de patching, il te faut un plan pour la situation où le correctif n’existe pas encore : réduction de l’exposition, segmentation et détection. Et puisque le breakout prend une demi-heure — si tu ne vois pas l’intrus en une demi-heure, tu le verras sur la facture.

Les attaques par des failles logicielles explosent : de 14% à 31% des intrusions en deux ans

Puisque les vulnérabilités s’accumulent à un rythme record et que le temps avant exploit est devenu négatif, ça devrait se voir dans les statistiques d’intrusions réelles. Et ça se voit — chaque grand jeu de données d’incidents montre la même direction : l’exploitation de failles logicielles est aujourd’hui la porte d’entrée dans les entreprises qui croît le plus vite :

• Verizon DBIR (env. 22 000 violations confirmées) : la part de l’exploitation de vulnérabilités a bondi de 14% (édition 2024) à 20% (2025) puis 31% (2026) — plus du double en deux ans et vecteur numéro 1 pour la première fois en 19 ans d’histoire du rapport, devant les mots de passe volés et le phishing.
• IBM X-Force 2026 : l’exploitation d’applications exposées sur internet représente déjà 40% des incidents traités — la cause la plus fréquente, +44% d’une année sur l’autre.
• Google Mandiant : les exploits sont le vecteur d’intrusion le plus fréquent pour la sixième année consécutive (32% des cas traités par leurs équipes de réponse à incident).
• Coalition (assureur cyber) : 58% des sinistres ransomware commencent par la compromission d’un équipement en bordure de réseau (VPN, firewall). Ça colle avec le DBIR, où les attaques sur les équipements de bordure ont été multipliées par huit en un an.
• CrowdStrike : 88% de l’exploitation observée des vulnérabilités disposant d’un code PoC public a eu lieu dans les 48 heures suivant sa publication, et le nombre de zero-days exploités avant divulgation a augmenté de 42% sur un an.

Le carburant de cette avalanche, c’est tout ce que tu lis dans ce billet : une offre record de vulnérabilités, un time-to-exploit négatif, l’IA qui assemble des exploits en quelques minutes — et des équipements de bordure qui, par nature, sont exposés à internet — souvent sans MFA et sans EDR, c’est-à-dire sans le logiciel de détection d’intrus qu’on ne peut tout simplement pas installer sur une « boîte » fermée de ce genre — mais avec des privilèges sur tout le réseau.

Pour la bonne forme, parce que l’honnêteté oblige : ce n’est pas que l’ingénierie sociale ait reculé. Le phishing garde un niveau stable (~16% dans le DBIR, 22% chez Unit 42) et change de format — vishing (+134% sur un an selon CrowdStrike), fausses pages CAPTCHA (+563%) ou coup de fil au helpdesk — et dans les données du secteur PME (Sophos), l’identité reste la racine de 67% des incidents, parce que là, l’attaquant n’exploite rien : il se connecte, tout simplement. Le fait est que les exploits ont rattrapé l’ingénierie sociale et croissent plus vite que tous les autres vecteurs — une entreprise doit aujourd’hui défendre les deux fronts en même temps.

Leçon n° 3 : La plus forte dynamique est du côté des exploits. Si tu as des équipements en bordure de réseau et des applications publiques, le rythme de patching et les tests sont ta priorité numéro un — exactement pour les raisons décrites dans la leçon n° 2. Mais ne finance pas ça avec le budget MFA et procédures : l’ingénierie sociale n’a pas lâché prise, elle a juste changé de canal. L’attaquant choisira toujours le moins cher de tes deux fronts.

Combien de failles corrigent les géants — Microsoft, Google et compagnie

J’aime cette perspective, parce que c’est celle qui marche le mieux sur les gens qui croient encore qu’« un logiciel sérieux n’a pas de bugs ». Alors regardons les entreprises les plus riches du monde, avec les meilleures équipes sécurité que l’argent puisse acheter :

• Microsoft, dans le cadre de ses Patch Tuesday mensuels, a corrigé 1 020 vulnérabilités en 2024 et 1 139 en 2025 (selon le décompte de la Zero Day Initiative), dont 41 zero-days. Et 2026 bat de nouveaux records : 570 correctifs pour le seul mois de juillet et environ 400 en août. Détail intéressant : Microsoft reconnaît lui-même qu’une partie de cette avalanche est à mettre au crédit de son système interne de recherche de vulnérabilités basé sur l’IA — les machines trouvent les bugs plus vite que les humains.
• Google Chrome — le navigateur dans lequel tu lis ce billet — a reçu en 2025 des correctifs pour ~250 vulnérabilités, dont 8 zero-days activement exploités dans des attaques. En 2026, Google a lui aussi mis l’IA à la chasse : trois versions consécutives de Chrome ont corrigé au total 1 442 bugs de sécurité, et un agent basé sur Gemini a trouvé entre autres une faille dans la sandbox qui traînait dans le code depuis 13 ans. Google décrit au passage un système d’agents avec un agent-critique distinct, qui écarte les faux positifs avant que la trouvaille n’arrive aux humains.
• Mozilla (Firefox) — rien que dans ses versions d’avril, elle a réparé 423 bugs de sécurité, contre 20–30 par mois typiquement sur tout 2025. 271 d’entre eux ont été trouvés avec l’aide de Claude Mythos Preview (le nom vient tel quel du billet technique de Mozilla). Commentaire honnête du CTO de Firefox : l’IA n’a rien trouvé qu’un chercheur humain d’élite n’aurait pas trouvé — mais elle l’a trouvé en masse, et non au rythme d’une faille par semaine.
• Le noyau Linux — l’équipe du kernel a publié 432 CVE en environ 30 heures (19–20 juillet 2026). Pour la bonne forme : le kernel attribue les CVE très généreusement (chaque correctif qui peut avoir des conséquences pour la sécurité), donc ce ne sont pas 432 failles critiques — mais l’ampleur du flux impressionne quand même.
• Oracle — son paquet groupé de correctifs de juillet (Critical Patch Update) compte près de 1 450 correctifs de sécurité couvrant 1 235 CVE uniques. Les trimestres précédents : de 309 à 481. Plus du quadruple en trois mois — Oracle n’explique pas d’où ça vient, mais le schéma est identique à celui des autres.
• Apple — pareil : la simple mise à jour « ponctuelle » iOS 26.6.1 du 17 août 2026 corrige 42 vulnérabilités (la plupart dans WebKit, le moteur de Safari). Voilà à quoi ressemble aujourd’hui la mise à jour de routine d’un téléphone qu’« on n’a pas besoin de mettre à jour, puisqu’il marche ».
• CISA KEV — le catalogue tenu par l’agence américaine CISA des vulnérabilités dont on est certain qu’elles sont exploitées dans des attaques réelles (d’où le nom : Known Exploited Vulnerabilities) — compte aujourd’hui 1 674 entrées, dont 245 ajoutées en 2025. C’est précisément cette courte liste par laquelle le patching devrait commencer.

À ces cas individuels s’ajoute une mesure agrégée. Epoch AI a compté les CVE de sévérité haute et critique publiées par les 21 plus grandes organisations technologiques (de Microsoft au projet Apache) : en juillet 2026, il y en avait environ 2 500 — à peu près cinq fois le record mensuel d’avant l’annonce d’avril de Claude Mythos Preview (env. 490). La courbe est la même partout : plate pendant des années, puis un mur.

Et ici, une honnêteté importante : ces failles, ce n’est pas l’IA qui les a écrites. Ce sont des humains qui les ont écrites — pendant des décennies. C’est la dette technique de toute l’industrie, que l’IA entre les mains de chercheurs compétents commence maintenant à rembourser en gros. Une très bonne nouvelle… avec trois bémols que je vois depuis ma tranchée de défenseur :

• Le risque de régression : comment déployer des correctifs pour plusieurs centaines de vulnérabilités dans un même produit sans rien casser ? Sans environnement de test, ordre de déploiement et plan de retour arrière — aucune chance.
• La banalisation : une semaine de plus, des centaines de correctifs de plus. La fatigue des alertes est un mécanisme bien réel — et il suffit de rater celle qui, justement, a atterri sur la liste KEV.
• L’asymétrie croissante : à l’attaquant, il suffit d’une seule faille ; le défenseur doit toutes les gérer. L’IA a augmenté l’offre de failles et le rythme des deux côtés — sauf que l’attaquant, lui, a le luxe de choisir.

Leçon n° 4 : Si Microsoft, Google et Apple — au budget illimité — corrigent chez eux plus d’un millier de failles par an, devine si l’application que ton sous-traitant a écrite pour ta boîte en six mois est sûre. Les bugs logiciels ne sont pas une honte, c’est des maths et des statistiques. La honte commence quand personne chez toi ne cherche activement ces bugs — parce qu’alors, le premier « testeur » sera un criminel. Et la nouvelle seconde moitié de cette leçon pour 2026 : puisque les correctifs arrivent par centaines, la sécurité se joue aussi dans le processus de mise à jour — tests, ordre de déploiement, rollback. L’IA n’est pas une machine à cracher des CVE ; elle renforce avant tout ceux qui savent quoi chercher. Fais en sorte qu’il y en ait aussi de ton côté.

D’où viennent toutes ces erreurs ? L’IA écrit du code plus vite qu’on ne le sécurise

Puisque les records tombent du côté de la détection des vulnérabilités, la question honnête est : et combien de nouvelles erreurs introduisons-nous ? Là-dessus, 2025 a apporté deux études qui devraient être accrochées au-dessus du bureau de chaque CTO :

Veracode a soumis plus de 100 modèles d’IA à 80 tâches de programmation comportant des pièges de sécurité connus. Résultat : 45% des tâches se terminent par du code contenant une vulnérabilité de la liste OWASP Top 10 (le « hit-parade » du secteur pour les erreurs les plus fréquentes dans les applications). En Java, le taux dépasse 70%. Et le plus intéressant : les modèles successifs, toujours plus récents, écrivent du code de plus en plus joli syntaxiquement — mais pas du tout plus sûr.

Apiiro a analysé des dizaines de milliers de dépôts de code dans de grandes entreprises et calculé que les développeurs assistés par IA livrent 3 à 4 fois plus de code — mais génèrent 10 fois plus de problèmes de sécurité. Le nombre de chemins d’escalade de privilèges (c’est-à-dire de façons de passer d’un compte ordinaire à un compte admin) dans le code écrit avec IA a augmenté de 322%. L’IA élimine à merveille les coquilles et les erreurs de syntaxe — et en échange, elle produit en série des erreurs d’architecture et de logique, précisément celles qu’on ne voit pas au premier coup d’œil.

Bouclons la boucle : parmi les raisons du relèvement de sa prévision de CVE pour 2026, FIRST cite… la découverte de vulnérabilités assistée par IA (rien que les signalements dans les GitHub Security Advisories ont augmenté de 449% sur un an). Autrement dit : l’IA écrit plus de code vulnérable, l’IA trouve plus de vulnérabilités dans le code des autres, et nous — les humains — nous tenons au milieu avec le même budget de patching que d’habitude. Une cuillerée de miel quand même : selon VulnCheck, sur le millier et quelques de vulnérabilités attribuées à des découvertes par IA, seules 1,3% ont pour l’instant été réellement exploitées dans des attaques. Pour l’instant.

Leçon n° 5 : L’IA dans le développement, c’est une pelleteuse : elle creuse plus vite aussi bien les fondations que les trous. Si tes équipes (ou tes sous-traitants) utilisent l’IA pour coder — et ils l’utilisent, même s’ils affirment le contraire 😈 — alors la revue de sécurité et les tests doivent être une partie intégrante du processus de développement, pas une opération ponctuelle après la mise en production.

Nouvelles menaces IA : phishing, deepfakes et intrusions en pilote automatique

Le volume des attaques augmente depuis des années : Check Point a calculé qu’une organisation moyenne repoussait en 2025 en moyenne 1 968 attaques par semaine — 70% de plus que deux ans plus tôt, et en juillet 2026 le compteur a bondi à 2 336. Mais le chiffre brut n’est pas la nouveauté qui m’intéresse (et m’effraie) le plus professionnellement. La nouveauté, c’est la qualité et l’automatisation :

Le phishing, c’est désormais l’IA qui l’écrit, pas le « prince nigérian ». KnowBe4, dans son rapport de cette année, estime que 86% des attaques de phishing sont assistées par IA. Une étude décrite dans la Harvard Business Review a montré que 60% des participants se sont fait avoir par un phishing entièrement généré par IA — autant que par des messages écrits par des experts humains de l’ingénierie sociale. L’ère du « tu repéreras l’arnaque à ses fautes de langue » est définitivement terminée.

Le deepfake est entré dans les bureaux. Entrust — sur la base des données de ses systèmes de vérification d’identité — estime dans son rapport Identity Fraud 2025 qu’une tentative de fraude au deepfake survient en moyenne toutes les 5 minutes. Le symbole en reste l’affaire du bureau d’études Arup, début 2024. Et ce n’est pas une légende urbaine : l’incident a été confirmé par la police de Hong Kong, et l’entreprise elle-même a reconnu que des voix et des images falsifiées avaient été utilisées. Après une visioconférence avec les deepfakes de son propre CFO et de ses collègues, un employé a exécuté 15 virements pour un total de 25,6 millions de dollars. Il n’a pas cliqué sur un lien suspect. Il a vu ses supérieurs « de ses propres yeux ».

Les intrusions passent en pilote automatique. Trois jalons documentés de ces douze à dix-huit derniers mois :

• Le « vibe hacking » : Anthropic a décrit une opération dans laquelle un criminel seul a utilisé un agent IA pour mener vol de données et chantage contre 17 organisations en un mois — l’IA faisait la reconnaissance, collectait les identifiants, analysait les finances des victimes et calculait la rançon « optimale » (les demandes atteignaient 500 000 dollars). Un groupe APT composé d’une seule personne.
• La première campagne d’espionnage menée principalement par une IA : en novembre 2025, Anthropic a révélé une opération liée à un État, dans laquelle un agent IA a effectué 80–90% du travail d’attaques contre ~30 cibles, l’humain ne prenant de décisions qu’en 4 à 6 points sur toute la campagne.
• PromptLock — le premier ransomware connu propulsé par un modèle d’IA local (détecté par ESET ; il s’est heureusement avéré être un projet de recherche de l’université NYU — mais le concept est désormais public). Ajoute à cela des frameworks du type HexStrike-AI, après la sortie desquels des criminels se vantaient d’avoir réduit le temps d’exploitation des vulnérabilités fraîches « de plusieurs jours à moins de 10 minutes ».

Pour compléter le tableau, un classique dans une nouvelle édition : le ransomware. En 2025, les sites de fuites ont publié les données de 7 458 entreprises victimes (+30% sur un an), et 73 nouveaux groupes criminels sont apparus. L’automatisation a abaissé le ticket d’entrée aussi du côté obscur du marché du travail.

Leçon n° 6 : L’IA n’a pas inventé un seul nouveau type d’attaque. Elle a fait pire : elle a retiré aux attaques leur coût et leur durée, et elle a élevé leur qualité à un niveau où « l’employé vigilant » cesse d’être une protection. La vigilance doit être remplacée par des procédures qui fonctionnent même quand l’humain croit ce que voient ses yeux et entendent ses oreilles — on en parle dans la section « qu’en faire ».

La Pologne en chiffres : plus de 700 incidents par jour

Un coup d’œil sur mon marché domestique, la Pologne — pour que personne ne croie que ce sont des problèmes réservés à la Silicon Valley :

• CERT Polska a reçu en 2025 658 320 signalements et enregistré 260 783 incidents uniques — une hausse de 152% sur un an. Ça fait plus de 700 incidents par jour. Le phishing et les arnaques règnent en maîtres (97% des incidents) ; les criminels se faisaient le plus souvent passer pour OLX (28 500 incidents) et Allegro (22 500), les deux géants polonais de la vente en ligne. Le rythme ne faiblit pas en 2026 : rien qu’en juillet, le CERT a enregistré 31 200 incidents (+12% sur un an), et la liste d’avertissement des domaines dangereux s’est allongée de 158 000 entrées depuis janvier.
• Selon Check Point, une organisation polonaise moyenne a repoussé sur l’année écoulée 1 854 attaques par semaine (+15% sur un an) — un poil sous la moyenne européenne, mais la direction est la même.
• KPMG, dans son « Baromètre de la cybersécurité 2026 » (enquête auprès de 100 moyennes et grandes entreprises) : 96% des entreprises polonaises ont enregistré au moins un incident de sécurité en 2025. Un record en 9 ans d’histoire de cette étude.
• Et côté résilience ? Dans le rapport « Cybersécurité — Tendances 2026 » (Xopero), seules 29% des entreprises déclarent une cyber-résilience élevée ou très élevée, et 64% n’ont pas de cyber-assurance.

Leçon n° 7 : La juxtaposition de ces deux chiffres dit tout : 96% des entreprises ont eu un incident, 29% déclarent une résilience élevée. La question « vais-je être attaqué » est statistiquement tranchée. Il en reste deux autres, ouvertes : le remarqueras-tu et combien ça va te coûter.

Qu’en faire — 6 mesures qui découlent directement des données

Je ne vais pas te laisser seul avec des graphiques. Chaque point ci-dessous découle directement des chiffres plus haut — zéro philosophie :

1. Inventorie ce qui « dépasse » vers internet. La médiane du temps avant exploitation massive des équipements en bordure de réseau est de 0 jour, et près de la moitié des zero-days de 2025 visaient du matériel d’entreprise — VPN et firewalls. Si tu n’as pas de liste à jour de tes systèmes visibles depuis internet, l’attaquant la dressera pour toi (en un quart d’heure, tu te souviens).
2. Patche selon le risque, pas selon le volume. 48 000 CVE par an contre 245 nouvelles entrées sur la liste des failles réellement exploitées (KEV). Le critique et exposé à internet — sous 24 à 72 heures ; le reste, gère-le par processus. Une médiane de 43 jours pour corriger une faille activement attaquée, c’est aujourd’hui chercher les ennuis.
3. Aie un plan pour le temps où le correctif n’existe pas. Puisque le time-to-exploit moyen est négatif, une partie des attaques arrivera par définition avant le patch. Réduis l’exposition des services, segmente le réseau, prépare des coupe-circuits (« qu’est-ce qu’on peut débrancher en une heure sans tuer le business ? »).
4. Investis dans la détection, pas seulement dans les murailles. Le breakout time, c’est 29 minutes, et le passage d’un accès d’un criminel à un autre peut ne prendre que 22 secondes. Une supervision (ton propre SOC, un service MDR — ce qui colle à la taille de l’entreprise) qui regarde réellement les alertes la nuit et le week-end a cessé d’être un luxe de multinationale.
5. Des procédures résistantes au deepfake. Puisque 60% des gens se font avoir par du phishing généré par IA et que « le patron en visio » peut être généré — aucune personne seule ne devrait pouvoir exécuter un virement inhabituel ni changer le compte bancaire d’un fournisseur. Rappel sur un numéro connu, deuxième signature, plafonds. Ennuyeux ? C’est justement l’ennuyeux qui sauve des millions.
6. Teste-toi avant que quelqu’un d’autre ne le fasse. Si Microsoft et Google corrigent un millier de failles par an, c’est parce que quelqu’un les cherche activement. À ton échelle, ce rôle revient exactement au test d’intrusion (une attaque contrôlée de tes systèmes, à l’issue de laquelle tu reçois la liste des failles et les moyens de les fermer) ou à un programme de bug bounty. Si tu veux savoir combien ça coûte à ton échelle — calcule-le en 2 minutes avec mon calculateur de devis, et si tu préfères en discuter : écris-moi.

FAQ

Combien de vulnérabilités (CVE) ont été détectées en 2025 ?

48 449 nouvelles CVE (cvedetails.com, selon la base NVD ; d’autres décomptes donnent 48 200–49 900). En 2026, le compteur a dépassé toute l’année précédente dès le 19 août (53 803). Prévision FIRST pour l’ensemble de 2026 : environ 66 000.

Qu’est-ce que le time-to-exploit et à combien s’élève-t-il ?

C’est le temps moyen entre la divulgation publique d’une vulnérabilité et sa première utilisation dans une attaque. Selon les études de Google Mandiant, il est passé de 63 jours (2018–2019) à environ moins 7 jours en 2025 — les attaques commencent en moyenne avant la publication du correctif, parce que la part des zero-days augmente.

À quelle vitesse les criminels exploitent-ils les vulnérabilités fraîchement divulguées ?

Le scan d’internet commence dans les ~15 minutes suivant l’annonce d’une CVE (Unit 42), ~29% des vulnérabilités avec exploitation confirmée ont été attaquées le jour de la publication ou avant (VulnCheck, 2025), et pour les équipements en bordure de réseau, la médiane du temps avant exploitation massive est de 0 jour (Verizon DBIR).

Les attaques via des failles logicielles augmentent-elles vraiment ?

Oui, plus vite que tous les autres vecteurs : dans le Verizon DBIR, la part de l’exploitation de vulnérabilités est passée de 14% à 31% des intrusions en deux ans (vecteur n° 1 pour la première fois dans l’histoire du rapport), et chez IBM X-Force, c’est déjà 40% des incidents (+44% sur un an). Le phishing, lui, ne disparaît pas pour autant (16% dans le DBIR, 22% chez Unit 42) — il change de forme vers le vishing et ClickFix, donc les deux fronts sont à prendre au sérieux.

Le code écrit par l’IA est-il sûr ?

Pas par défaut. Veracode : 45% des tâches de programmation réalisées par des modèles d’IA aboutissent à du code vulnérable. Apiiro : les équipes avec IA écrivent 3–4× plus de code, mais génèrent ~10× plus de problèmes de sécurité.

Pourquoi corrige-t-on des nombres records de vulnérabilités en 2026 ?

Parce qu’on a attelé l’IA à la chasse aux bugs. Mozilla a réparé 423 bugs dans ses versions d’avril (contre 20–30 par mois typiquement), dont 271 trouvés avec l’aide de Claude ; Chrome a corrigé 1 072 bugs en deux versions ; Oracle a publié près de 1 450 correctifs en un seul trimestre. Selon Epoch AI, le nombre de CVE sérieuses émises par les 21 plus grandes organisations a atteint env. 2 500 en juillet 2026 — environ 5× le record d’avant l’ère des agents IA.

Combien d’attaques par semaine repousse une entreprise en Pologne ?

En moyenne 1 854 attaques par semaine et par organisation (Check Point, août 2026, +15% sur un an). Le CERT Polska a enregistré 260 783 incidents en 2025 — plus de 700 par jour.

En résumé

Tous ces chiffres racontent une seule et même histoire : la course que nous mesurions autrefois en semaines, nous la mesurons aujourd’hui en minutes — et par endroits, le temps est devenu négatif. Les vulnérabilités s’accumulent au rythme le plus rapide de l’histoire, l’exploit devance le correctif, l’IA a réduit le coût d’une attaque presque à zéro, et en parallèle 96% des entreprises polonaises ont déjà un incident derrière elles. La bonne nouvelle a un goût paradoxal : puisque seule une fraction des vulnérabilités est réellement attaquée, les gagnants ne sont pas ceux qui ont le plus gros budget, mais ceux qui connaissent leur propre terrain, patchent selon le risque et voient l’intrus en minutes, pas en mois. Ça s’apprend — et c’est par là que commence tout bon plan de sécurité. ✔️

Et si tu veux vérifier à quoi ressemble ton entreprise vue à travers les yeux d’un attaquant — tu sais où me trouver.

Sources des données utilisées dans ce billet

• cvedetails.com — statistiques CVE par année (au 19.08.2026) ; Jerry Gamblin — « CVE Data Review » (jerrygamblin.com)
• FIRST — Vulnerability Forecast 2026 (février et juin 2026)
• Google Mandiant — « Time-to-Exploit Trends » (2024) et « M-Trends 2026 »
• Google Threat Intelligence Group — « 2025 Zero-Days in Review » (mars 2026)
• VulnCheck — « State of Exploitation » (janvier et juillet 2026)
• Verizon — Data Breach Investigations Report 2024–2026
• IBM — X-Force Threat Intelligence Index 2025 et 2026 ; Sophos — Active Adversary Report 2025 et 2026 ; Palo Alto Unit 42 — Global Incident Response Report 2025 et 2026
• Coalition — Cyber Threat Index 2025 ; ENISA — Threat Landscape 2025 ; Red Canary — Threat Detection Report 2026
• Cloudflare — Application Security Report 2024
• CrowdStrike — Global Threat Report 2026
• Cyentia Institute & FIRST — « A Visual Exploration of Exploitation in the Wild » (2024)
• Zero Day Initiative / Tenable — synthèses Patch Tuesday 2024–2026 ; Apple — security releases (iOS 26.6.1, 08.2026)
• Mozilla Hacks — « Behind the scenes: hardening Firefox » (05.2026) ; Google Security Blog — « Stronger with every update » (07.2026)
• Epoch AI — « Disclosed CVEs: July Reached 5× the Pre-Mythos Record » (07.2026)
• Oracle — Critical Patch Update July 2026 ; The Register — « Linux kernel team publishes 432 CVEs in two days » (07.2026)
• Zero Day Clock (zerodayclock.com) — agrégateur de données d’exploitation (CISA KEV + VulnCheck)
• Veracode — GenAI Code Security Report 2025 ; Apiiro — analyse du code généré par IA (2025)
• Check Point Research — rapports 2025–2026 ; KnowBe4 — Phishing Threat Trends 2026
• Anthropic — rapports de threat intelligence (août et novembre 2025) ; ESET — PromptLock (2025)
• Entrust Identity Fraud Report 2025 ; Searchlight Cyber — ransomware 2025
• CERT Polska — Rapport annuel 2025 et synthèse mensuelle de juillet 2026 ; KPMG — « Barometr cyberbezpieczeństwa 2026 » (Baromètre de la cybersécurité) ; Xopero — « Cyberbezpieczeństwo — Trendy 2026 » (Cybersécurité — Tendances 2026) ; WEF — Global Cybersecurity Outlook 2026