La cybersécurité est une « priorité géopolitique », pas un « problème technique » (1/3) Bruce Schneier Facts Illustration : Flock Grâce à l’IA, les vulnérabilités sont désormais exploitées par des logiciels malveillants en moins de 24 heures, en moyenne, et de plus en plus souvent avant même d’avoir été identifiées par les acteurs de la cybersécurité. L’accélération est telle que de nombreux professionnels appellent à un sursaut « géopolitique », arguant du fait qu’il ne s’agit pas d’un « problème technique ». Jean-Marc Manach Le 23 avril à 12h23 Sécurité 19 min L’analyse de 3 530 vulnérabilités exploitées par des acteurs malveillants depuis 2018 indique que s’il fallait auparavant attendre entre un et deux ans en moyenne après la découverte d’une vulnérabilité avant que son exploitation ne soit confirmée, depuis 2021, la confirmation arrive en moins d’un an. Le délai est passé à 5 mois depuis 2023, 56 jours depuis 2024, 23 jours en 2025, et 20 heures cette année. Dans le même temps, le nombre d’exploits utilisés à des fins malveillantes a doublé, passant de moins de 250 par an à plus ou moins 500. Vibe-codé le mois dernier par Sergej Epp, ex-CISO (RSSI, pour responsable de la sécurité des systèmes d’information) de Palo Alto Networks, zerodayclock.com relève également que le pourcentage de vulnérabilités exploitées avant d’être découvertes (dites failles ou exploits « zero day ») est passé de 20 % environ jusqu’en 2020 à plus de 50 % en 2025. Le taux s’établit d’ores et déjà à plus de 72 % en 2026. Et si moins de 50 % de ces vulnérabilités étaient exploitées dans les trois mois suivant leurs découvertes jusqu’en 2021, 80 % l’étaient en moins de deux mois l’an passé, et 100 % le sont en moins de 50 jours cette année. La chronologie de ce que Sergej Epp qualifie d’ « effondrement » (« collapse » en VO) montre que le délai médian entre la découverte d’une vulnérabilité et son exploitation était de 771 jours en 2018, et que les entreprises et organisations disposaient donc de plus de deux ans pour appliquer les correctifs. En 2023, ce délai est tombé à 6 jours, puis 4 heures en 2024. En 2025, la majorité des vulnérabilités étaient déjà exploitées avant même d’être rendues publiques. Un problème devenu « systémique » avec l’IA : « Lorsqu’un éditeur de logiciels publie un correctif de sécurité, l’IA est désormais capable de procéder à une ingénierie inverse de ce correctif, d’identifier la vulnérabilité qu’il corrige et de générer en quelques minutes un exploit opérationnel à des fins malveillantes. Les attaques peuvent commencer à se propager à travers le monde en quelques heures. Or, les entreprises ont besoin en moyenne de 20 jours pour tester et déployer ce même correctif. » Dit autrement, « le fait de corriger une vulnérabilité accélère désormais son exploitation. La défense engendre l’attaque. Et l’attaque survient des semaines avant que la défense ne puisse achever son déploiement ». Le « paradoxe du patch » Il reste 80% de l'article à découvrir. Déjà abonné ou lecteur ? Se connecter Soutenez un journalisme indépendant, libre de ton, sans pub et sans reproche. Accédez en illimité aux articles Profitez d'un média expert et unique Intégrez la communauté et prenez part aux débats Partagez des articles premium à vos contacts Abonnez-vous