Explication
Qu'est-ce qu'un CVE?
Un CVE est un numéro d'identification public pour une faille de sécurité logicielle connue, comme CVE-2026-12345. Il donne à tout le monde le même nom pour la même faille.
De la faille au correctif
- TrouvéeQuelqu'un trouve une faille dans un logiciel.
- ConsignéeElle reçoit un numéro CVE public.
- CorrigéeLe fabricant publie un correctif.
- InstalléLe risque disparaît seulement quand les gens l'installent.
Les titres comptent les failles, mais ce qui te protège, c'est le nombre de failles corrigées et de correctifs installés. Faire la différence t'aide à lire un chiffre épeurant sans paniquer, et sans hausser les épaules.
Faille, exploit, correctif
- Vulnérabilité (une faille) : une erreur dans un logiciel qu'un attaquant pourrait utiliser.
- Exploit : le code ou la méthode qui utilise vraiment la faille.
- Correctif : la réparation offerte par le fabricant du logiciel. Il ne sert à rien tant que les gens ne l'installent pas.
- Faille du jour zéro (zero-day) : une faille que des attaquants utilisent avant que le fabricant la connaisse ou ait un correctif. Il a eu zéro jour pour se préparer.
Pourquoi l'IA change les chiffres
L'IA lit du code à la vitesse d'une machine, alors elle trouve les failles plus vite, pour les défenseurs comme pour les attaquants. Selon un décompte, environ 14 000 nouvelles fiches de vulnérabilités sont apparues dans les 25 premiers jours d'octobre 2026, soit plus de trois fois le total de tout octobre l'an dernier. C'est pour ça que certains ont parlé d'« Octobre noir ».
Lis le chiffre avec prudence
Le nombre de CVE te dit combien de failles ont été consignées. Il ne te dit pas combien ont été corrigées, ni combien ont servi à des attaques. Une analyse rapporte que seulement 1 % environ des vulnérabilités découvertes par l'IA avaient été exploitées jusqu'ici. Une autre rapporte que des attaquants ont essayé une faille de PHP avant l'avertissement public. La découverte roule à la vitesse de l'IA. La correction roule encore à la vitesse humaine.
Dans l'actualité
Notre éditorial de la semaine, Le Café Noir du 29 octobre 2026, traite de ces chiffres, avec leurs limites.
Sources
- 1023 Jack : analyse des fiches du NVD et de CVE.org
- Infosecurity Magazine : seulement 1 % des vulnérabilités découvertes par l'IA exploitées jusqu'ici (VulnCheck)
- Amazon Threat Intelligence : exploitation de PHP2Shell avant la divulgation publique
- Anthropic : tableau de bord de la divulgation coordonnée des vulnérabilités
Réponses rapides
Qu'est-ce qu'un CVE?
Un CVE est un numéro d'identification public pour une faille de sécurité logicielle connue, comme CVE-2026-12345. Il permet à tout le monde de parler de la même faille.
Qu'est-ce qu'une faille du jour zéro?
Une faille que des attaquants utilisent avant que le fabricant la connaisse ou ait un correctif. Le fabricant a eu zéro jour pour la corriger.
Pourquoi le nombre de CVE est-il important?
Plus de fiches peut vouloir dire que plus de failles sont trouvées, souvent grâce à l'IA. Ça ne dit pas combien sont corrigées, ni utilisées dans des attaques. Ce sont d'autres chiffres.