H1 2026 : 35 000 CVEs publiées, explosion des vulnérabilités

Ce qui s'est passé

Les chiffres publiés par le programme CVE de la MITRE Corporation et analysés par plusieurs organisations spécialisées dressent un tableau saisissant : 35 364 CVEs ont été attribuées et publiées au cours du premier semestre 2026 (janvier à juin inclus). Ce chiffre représente une augmentation de 49 % par rapport au premier semestre 2025, prolongeant une tendance à la hausse continue observée depuis 2021. Pour mettre ce volume en perspective, l'année 2025 dans son intégralité avait enregistré 48 174 CVEs — soit un rythme déjà historique de 131 nouvelles failles par jour en moyenne.

Le mois de juillet 2026 a établi un nouveau record mensuel absolu avec 9 771 CVEs publiées en un seul mois, soit une hausse de 126 % par rapport au mois de janvier 2026. Cette accélération estivale n'est pas entièrement expliquée par une recrudescence des découvertes : elle reflète en partie les cycles de publication des éditeurs, l'intégration de nouveaux partenaires CNA (CVE Numbering Authority) dans le programme, et l'affinement méthodologique qui conduit à attribuer rétrospectivement des identifiants CVE à des failles antérieurement non répertoriées. L'automatisation croissante de la découverte de vulnérabilités via des outils d'analyse statique assistés par IA contribue également à cette accélération.

La répartition par sévérité des CVEs publiées en 2026 révèle un paysage contrasté. Selon les données analysées par plusieurs organisations de recherche spécialisées, 11,7 % des CVEs ayant reçu un score CVSS sont classées comme Critiques (score 9,0 à 10,0) et 42,2 % comme Élevées (score 7,0 à 8,9). Autrement dit, plus d'un tiers des vulnérabilités publiées présente théoriquement un niveau de risque élevé à critique. Ce chiffre, pris au pied de la lettre, représenterait une charge de travail impossible à absorber pour n'importe quelle équipe sécurité : appliquer 35 000 patchs en six mois, même en se limitant aux criticités élevées, est mathématiquement hors de portée pour une organisation de taille standard.

C'est ici qu'intervient la nuance statistique la plus importante de ce bilan : sur les 35 364 CVEs du premier semestre 2026, seulement 85 — soit 0,24 % — ont été intégrées au catalogue Known Exploited Vulnerabilities (KEV) de la CISA. Ce catalogue, qui recense les vulnérabilités pour lesquelles une exploitation dans la nature a été confirmée par des preuves concrètes, constitue le filtre de priorisation le plus pragmatique disponible pour les équipes de sécurité opérationnelle. Un second indicateur complémentaire, l'EPSS (Exploit Prediction Scoring System), montre que seulement 0,6 % des CVEs de 2026 ont une probabilité d'exploitation supérieure à 10 % selon les modèles prédictifs alimentés par les données de threat intelligence.

Ces deux métriques convergent vers le même constat : l'immense majorité des vulnérabilités publiées ne sera jamais activement exploitée dans des attaques réelles, du moins à court terme. Ce n'est pas une raison pour ignorer les patchs, mais c'est un argument puissant en faveur d'une approche basée sur la priorisation par le risque réel plutôt que par la conformité exhaustive. Les organisations qui tentent de patcher toutes les vulnérabilités CVSS High/Critical en temps réel consomment leurs ressources sur des failles théoriques au détriment des 0,24 % qui méritent une réponse urgente.

Parallèlement à la hausse du volume, les données du deuxième trimestre 2026 analysées par Securelist montrent que les délais entre la publication d'une CVE et son exploitation active se raccourcissent. Sur les 495 CVEs exploitées dans la nature au premier semestre 2026, 116 l'ont été dès le jour de leur publication publique (zero-day ou near-zero-day). Cette statistique confirme que pour certaines catégories de failles — notamment celles affectant des équipements réseau exposés, des VPN, des appliances de gestion ou des panneaux de contrôle web — le délai de patching acceptable se mesure désormais en heures plutôt qu'en jours ou en semaines.

La croissance du volume est également liée à l'expansion du périmètre couvert par le programme CVE. Depuis plusieurs années, la MITRE délègue la gestion des CVEs à des CNA (CVE Numbering Authorities) qui peuvent être des éditeurs de logiciels, des chercheurs indépendants ou des organisations sectorielles. En 2026, plusieurs grandes plateformes cloud et fournisseurs open source ont renforcé leur participation au programme CVE, contribuant à une meilleure couverture de l'écosystème logiciel mais aussi à une augmentation mécanique du volume de publications.

Pour les équipes blue team et les RSSI, ce contexte de « flood CVE » pose une question stratégique fondamentale : comment maintenir une posture de sécurité robuste sans submerger les équipes de patching ? Les frameworks de priorisation modernes recommandent de croiser trois sources : le catalogue KEV de la CISA (exploitation confirmée), l'EPSS (probabilité d'exploitation calculée par modèle ML) et la threat intelligence contextuelle (est-ce que les groupes ciblant mon secteur exploitent activement cette faille ?). La combinaison de ces trois filtres réduit typiquement le volume de failles à traiter en urgence à moins de 2 % du total publié, un volume gérable pour la plupart des équipes.

Pourquoi c'est important

L'inflation des CVEs n'est pas qu'un problème statistique : elle a des conséquences opérationnelles directes sur la capacité des organisations à se défendre. Chaque CVE publiée génère potentiellement une alerte dans les outils de gestion des vulnérabilités (Qualys, Tenable, Rapid7, Wiz), un ticket dans le système de ticketing de l'équipe IT, une vérification de présence dans le parc, et une décision de patching ou d'acceptation du risque. À 35 000 CVEs par semestre, soit environ 200 par jour ouvré, ce processus automatisé doit impérativement être calibré pour ne pas créer une avalanche d'alertes non pertinentes — le phénomène d'« alert fatigue » qui épuise les équipes et les rend sourdes aux signaux réellement critiques.

La pression réglementaire amplifie ce défi. La directive NIS2, le règlement DORA pour le secteur financier, et les exigences du Cyber Resilience Act (CRA) pour les fabricants de produits numériques imposent tous des obligations de gestion des vulnérabilités. Pour NIS2, les entités importantes doivent être en mesure de démontrer qu'elles ont mis en place des processus de gestion des patchs « adaptés au risque ». L'interprétation de cette exigence face à un volume de 200 CVEs par jour nécessite précisément l'implémentation des frameworks de priorisation décrits ci-dessus, documentés et auditables par les autorités compétentes — l'ANSSI en France, le BSI en Allemagne, l'ENISA au niveau européen.

Un deuxième enjeu soulevé par l'inflation des CVEs est celui de la couverture de l'écosystème open source. Une part croissante des CVEs de 2026 concerne des composants des écosystèmes npm, PyPI, Maven ou GitHub — des dépendances indirectes intégrées dans des milliers d'applications sans que les développeurs en aient nécessairement conscience. La sécurité de la chaîne d'approvisionnement logicielle est devenue un sujet central depuis les incidents SolarWinds et Log4Shell, et le volume croissant de CVEs open source illustre la profondeur du problème. Des outils comme le SBOM (Software Bill of Materials), désormais requis dans certains contextes réglementaires et progressivement adoptés en Europe, constituent la réponse structurelle à ce défi.

Enfin, l'accélération de la publication des CVEs pose la question des capacités d'analyse et de réponse à l'échelle nationale. L'ANSSI et le CERT-FR publient des bulletins quotidiens de veille sur les vulnérabilités, priorisant les failles les plus critiques pour l'écosystème français. Avec 200 nouvelles CVEs par jour, la pression sur les équipes de veille nationales et sectorielles est considérable. Des initiatives comme les CERT sectoriels (santé, énergie, transport) et les plateformes collaboratives de partage de threat intelligence — MISP et OpenCTI en tête — deviennent des outils essentiels pour mutualiser l'effort d'analyse et permettre aux organisations de taille modeste de bénéficier d'une intelligence sur les menaces proportionnée à leur exposition réelle.

Ce qu'il faut retenir

• 35 364 CVEs en H1 2026 représentent un volume sans précédent (+49 % vs H1 2025) ; patcher exhaustivement est impossible — la priorisation par KEV et EPSS est la seule stratégie viable.
• Seulement 0,24 % des CVEs publiées figurent dans le catalogue KEV (exploitation confirmée) : concentrez les ressources de patching urgent sur cette fraction, complétée par la threat intel contextuelle à votre secteur.
• Pour les failles affectant des équipements réseau exposés ou des panneaux de gestion, le délai d'exploitation peut être de quelques heures après publication : mettez en place des alertes temps réel sur le KEV CISA et les avis ANSSI/CERT-FR.