La fenêtre de militarisation des exploits s'est effondrée, passant de semaines à des heures

L'écart entre la divulgation publique d'une vulnérabilité et sa première exploitation réelle est passé d'une moyenne de 56 jours en 2024 à environ 10 heures aujourd'hui. Dans certains cas recensés, l'exploitation commence avant même la publication d'un correctif. Les cycles de correctifs conçus autour de cadences mensuelles et de fenêtres de remédiation de 30 jours n'ont jamais été pensés pour cela, et ce décalage est désormais le principal moteur des failles qui font la une.

Ce n'est pas une hypothèse. C'est le schéma derrière presque toutes les grandes histoires d'exploitation couvertes par IRCNF ces deux dernières semaines — et ce schéma est la véritable information, pas telle ou telle CVE.

Les chiffres derrière l'effondrement

Un record de 48 185 CVE ont été publiées en 2025, soit environ 131 par jour, contre 40 009 l'année précédente. Ce volume à lui seul rend le triage manuel impossible pour la plupart des équipes de sécurité. 47,7 % des vulnérabilités ajoutées au catalogue KEV de la CISA en 2025 portaient des identifiants CVE de cette même année. Au cours de la première semaine suivant la divulgation, plus de 54 % des vulnérabilités critiques font l'objet d'une exploitation active. Le délai médian avant une exploitation massive n'est plus que de 5 jours.

Pendant ce temps, la réponse des éditeurs n'a pas suivi ce rythme. Même pour les vulnérabilités déjà confirmées comme activement exploitées, les éditeurs mettent en moyenne 15 jours à publier un correctif. Pour les failles critiques en général, le temps moyen de correction était de 54,81 jours en 2025.

Quatre cas récents qui illustrent le schéma

Des chercheurs de Wiz ont retracé une chaîne de trois CVE dans JFrog Artifactory que des attaquants ont utilisée pour implanter des portes dérobées basées sur Rust dans les pipelines de build d'entreprises du Fortune 100, lors d'une campagne de 24 jours.

L'unité de recherche sur les menaces d'Acronis a documenté un acteur lié à la Chine, suivi sous le nom de Red Heron, qui a transformé une vulnérabilité de Gitea (CVE-2026-60004) en un cadre de piratage entièrement automatisé en quelques jours.

Cisco Talos a attribué l'exploitation active d'une faille CVSS 10,0 dans Cisco Firepower Management Center (CVE-2026-20079) au groupe APT Sandworm et aux opérateurs du rançongiciel Qilin.

Et lorsque GitLab a divulgué ce mois-ci une vulnérabilité CVSS 10,0 (CVE-2026-85706), le délai de remédiation de la CISA pour les agences fédérales est tombé le jour même de la divulgation.

Pourquoi l'écart continue de se creuser

Trois forces alimentent cette accélération : d'abord, la rétro-ingénierie assistée par IA a rendu beaucoup plus rapide le passage d'un correctif ou d'une preuve de concept à un exploit fonctionnel. Ensuite, le modèle réactif de type KEV, bien qu'utile, reste fondamentalement un indicateur retardé. Enfin, le volume pur : avec 131 CVE publiées par jour, même des équipes de sécurité bien dotées ne peuvent évaluer manuellement l'exploitabilité de chaque divulgation avant que les attaquants ne le fassent.

Ce que les défenseurs doivent vraiment changer

La réponse pratique n'est pas « corriger plus vite » dans l'absolu, mais changer les vulnérabilités qui reçoivent une attention immédiate et la manière dont la remédiation est déployée. Les systèmes exposés à internet, l'infrastructure CI/CD et tout produit ayant un historique au catalogue KEV devraient avoir un SLA de correctif hebdomadaire, pas mensuel. La priorisation devrait pondérer les signaux d'exploitabilité (appartenance au KEV, disponibilité d'un PoC public, score EPSS) plus que le score CVSS brut. Là où un correctif ne peut être déployé sous 72 heures, le patching virtuel via des règles WAF ou la segmentation réseau devrait servir de pont. Toute équipe fonctionnant encore selon le modèle « patch du mardi plus 30 jours » devrait considérer ce modèle comme déjà obsolète pour tout système réellement exposé à internet.