Les CVE explosent en 2026 — et l'IA en est le catalyseur
Un tournant structurel dans la cybersécurité
Nous vivons une transformation silencieuse mais radicale dans le monde de la cybersécurité. Ce n'est pas un incident isolé, ni une alerte passagère : c'est une bascule structurelle dans la façon dont les vulnérabilités sont découvertes, publiées… et exploitées.
En mars 2026, 6 305 CVE ont été publiées sur le seul mois écoulé, soit +51% par rapport à la moyenne mensuelle de 2025. Derrière cette accélération, un catalyseur clairement identifiable : l'intelligence artificielle générative.
Les chiffres qui font froid dans le dos
Le Forum of Incident Response and Security Teams (FIRST) a publié en février 2026 sa prévision annuelle : un volume médian de 59 427 CVE est attendu pour l'année, avec des scénarios réalistes atteignant 70 000 à 100 000 vulnérabilités — et une borne haute théorique de 117 673. C'est la première fois dans l'histoire qu'un tel seuil est franchi.
À titre de comparaison, 2025 avait déjà enregistré environ 48 000 CVE, elles-mêmes en forte progression. La tendance n'est pas linéaire, elle s'emballe.
Si le volume global impressionne, c'est surtout la concentration sur certaines technologies critiques qui devrait alerter toutes les équipes sécurité. Les navigateurs web — première interface entre l'utilisateur et Internet — sont en première ligne :
- 🦊 Mozilla Firefox : +180% de CVE détectées — Firefox 149 a corrigé à lui seul 42 vulnérabilités en une seule mise à jour en mars 2026, dont 6 sandbox escapes
- 🌐 Google Chrome : +780% de CVE détectées — Chrome 146 a patché 8 failles critiques le même jour, dont 3 use-after-free de sévérité CVSS 8.8
Ces deux navigateurs sont présents sur des centaines de millions de postes de travail, y compris dans des environnements d'entreprise sensibles. Leur surface d'attaque ne fait pas que s'élargir — elle s'embrase.
Pourquoi l'IA change les règles du jeu
La recherche en sécurité a longtemps été un travail artisanal, chronophage, réservé à une élite technique. L'IA générative a changé les règles du jeu de façon brutale.
L'IA comme outil de découverte
Les chercheurs disposent désormais d'outils capables d'analyser du code à grande échelle, d'automatiser le fuzzing et de détecter des patterns de vulnérabilités en quelques heures là où cela prenait des semaines. L'exemple le plus frappant est concret : en mars 2026, des chercheurs utilisant Claude d'Anthropic ont découvert 6 nouvelles CVE dans Firefox en une seule session de recherche — une première dans l'histoire d'un advisory majeur de navigateur.
Du côté de Google, le projet OSS-Fuzz-Gen exploite des LLMs pour générer des variantes de fuzz targets et trouver des bugs dans du code déjà testé — avec pour résultat la découverte d'une CVE dans OpenSSL. Meta a publié en 2025 AutoPatchBench, un benchmark permettant d'évaluer des agents IA capables de corriger automatiquement des vulnérabilités détectées par fuzzing.
Des plateformes entières émergent autour de ce paradigme : FuzzForge propose une approche "From code to CVEs in minutes, not months", avec des agents IA pour l'analyse statique, le fuzzing, le reverse engineering et la détection de secrets.
L'IA comme outil d'exploitation
C'est une démocratisation à double tranchant. En janvier 2026, le groupe APT28 (Russie) exploitait déjà un zero-day Microsoft Office pendant que les équipes défensives cherchaient encore à comprendre la surface d'attaque. Un honeypot a détecté CVE-2026-35616 (CVSS 9.8, RCE non authentifiée sur FortiClient EMS) avant toute publication officielle, uniquement grâce à des capteurs réseau observant des comportements anormaux. Le délai entre découverte et exploitation se réduit à quelques heures.recordedfuture+1
"AI-driven vulnerability discovery compresses timelines that defenders relied on. Every patch release becomes a roadmap for the next attack." — DefusedCyber, avril 2026
Le piège du volume : patcher les mauvaises choses
Face à cette avalanche, le réflexe naturel est de traiter en masse. C'est précisément là que réside le danger. Selon les données de Picus Security publiées en avril 2026
- Seulement 2,3% des CVE de score CVSS ≥ 7 font l'objet d'une tentative d'exploitation réelle
- 28% des CVE effectivement exploitées portent un score CVSS moyen — elles passent sous les radars des équipes focalisées sur les "critiques"
- Seulement 14% de l'activité adversariale loggée génère une alerte dans les outils de détection
La conclusion est sans appel : un score CVSS seul ne suffit plus à prioriser. Il faut croiser la criticité technique avec la présence dans le catalogue CISA KEV (Known Exploited Vulnerabilities), le score EPSS (probabilité d'exploitation à 30 jours) et la criticité métier de l'actif exposé.
Ce que ça implique concrètement pour les équipes sécurité
Face à cette accélération, les pratiques traditionnelles de gestion des vulnérabilités atteignent leurs limites. Quatre priorités s'imposent :
- Accélérer les cycles de MCS — CISA exige désormais des délais de 7 à 21 jours pour les CVE du catalogue KEV, contre un délai médian industriel de 32 jours aujourd'hui.
- Adopter une priorisation contextuelle — croiser CVSS + EPSS + KEV + criticité métier de l'actifmotadata+1
- Industrialiser le patch management — des outils comme N-central, Motadata ou Microsoft Azure Update Manager permettent un déploiement automatisé respectant les fenêtres de maintenance, sans coordination manuellen-able+1
- Investir dans la threat intelligence proactive — les honeypots et capteurs réseau permettent de détecter des exploitations zero-day avant même la publication officielle du CVE
Le vrai enjeu : l'asymétrie de vitesse
La question n'est plus "combien de CVE va-t-on publier ?" mais "nos équipes peuvent-elles absorber ce rythme ?". L'IA accélère la découverte des failles — mais elle accélère aussi leur exploitation potentielle. L'asymétrie entre attaquants agiles et défenseurs contraints par des processus lourds n'a jamais été aussi dangereuse.
2026 marque peut-être le début d'une nouvelle ère : celle où la vélocité devient le premier indicateur de maturité d'une organisation de sécurité. Les FIRST projettent d'ailleurs une croissance continue au-delà de 2026, avec une médiane de 51 018 CVE en 2027 et 53 289 en 2028 — avec des bornes hautes proches de 193 000.
La course est lancée. La question est de savoir qui la court.
Et vous, vos processus de gestion des vulnérabilités sont-ils calibrés pour ce nouveau rythme ? Partagez votre retour en commentaire.
Sources
- FIRST – 2026 Vulnerability Forecast (février 2026) — first.orgfirst
- SecureWorld – CVEs Expected to Surpass 50,000 in 2026 — secureworld.iosecureworld
- Infosecurity Magazine – FIRST Forecasts Record-Breaking 50,000+ CVEs in 2026 — infosecurity-magazine.cominfosecurity-magazine
- CSO Online – CISOs must separate signal from noise as CVE volume soars — csoonline.comcsoonline
- AnonHaven – Vulnerability Digest March 24, 2026 (Firefox 149, Chrome 146) — anonhaven.comanonhaven
- DefusedCyber – The AI Vulnerability Storm & CVE-2026-35616 (avril 2026) — defusedcyber.comdefusedcyber
- Picus Security – Vulnerability Prioritization in 2026: Why CVSS Isn't Enough (avril 2026) — picussecurity.compicussecurity
- N-able – Automated Patch Management: Complete 2026 Guide — n-able.comn-able
- Recorded Future – January 2026 CVE Landscape — recordedfuture.comrecordedfuture
- AISLE – What AI Security Research Looks Like When It Works — aisle.comaisle
- Google / RSA Conference – OSS-Fuzz-Gen: AI-Powered Fuzzing — youtube.comyoutube
- Meta Engineering – AutoPatchBench (2025) — engineering.fb.comengineering.fb