Scope Cyber
La Lettre Cyber
Le dossier du mois
Le déluge des failles, accéléré par l'IA
Près de 17 000 vulnérabilités ont été publiées en octobre, quatre fois plus qu'un an plus tôt. Une partie vient désormais de systèmes d'IA, qui trouvent les failles et parfois écrivent l'exploit. Les failles réellement exploitées, elles, ne suivent pas la même courbe.
Le volume. Le CVE Tracker suit le référentiel officiel des vulnérabilités. Il a compté 16 959 nouvelles CVE en octobre, contre 4 274 un an plus tôt. Depuis janvier, le total atteint 89 759, presque le double de 2025. Le FIRST, qui fédère les équipes de réponse à incident, en attendait 66 000 sur toute l'année.
Le rôle de l'IA. Le FIRST cite la découverte assistée par l'IA parmi les causes, une « première grande vague ». Il relève aussi des effets de comptabilité : GitHub rattrape d'anciennes failles (+449 % sur un an), VulnCheck en enregistre trente fois plus. VulnCheck reste prudent : le signal est encore émergent. Octobre en donne pourtant deux exemples. Un modèle d'Anthropic a écrit un exploit pour une faille du noyau Linux (ci-dessous). Et la plus grave des failles de Node.js corrigées le 21 octobre a été signalée par OpenAI Codex Security.
Trier plutôt que tout corriger. Le FIRST observe que les failles réellement exploitées n'augmentent pas. Il s'appuie sur deux repères : le catalogue KEV de la CISA, qui recense les failles exploitées, et le score EPSS, qui estime le risque d'exploitation. Les éditeurs doivent s'attendre à doubler leur travail de correction. Pour les systèmes en production, la charge devrait rester stable d'ici fin 2026. « La contrainte n'est plus la découverte », conclut le FIRST : elle tient désormais à la capacité humaine de vérifier et de corriger.
Le chiffre du mois
16 959 CVE publiées en octobre 2026, contre 4 274 un an plus tôt. Le compteur total atteignait 398 637 au 31 octobre.
Système
Noyau Linux : un exploit distant écrit par une IA
La faille CVE-2026-98432, notée 9,8 sur 10, dort dans le noyau depuis Linux 4.4. Un simple paquet SYN portant des options IP la déclenche à l'ouverture d'une connexion TCP. Elle est corrigée en amont et sur les branches stables.
Anthropic, qui l'a signalée, affirme qu'un de ses modèles internes en a tiré un exploit. Celui-ci donne un accès root à distance, sans identifiants, sur les serveurs dotés d'un écouteur Multipath TCP. Il n'est pas publié, et aucune attaque n'est signalée.
Au 30 octobre, Red Hat n'avait pas encore livré de noyau corrigé. AlmaLinux conseille d'ici là de désactiver MPTCP et de filtrer les paquets TCP porteurs d'options IP.
Les incidents du mois
- Supermarchés — Des contrôleurs de réfrigération détournés dans plusieurs enseignes. Page 3.
- Binance — 6,3 milliards de dollars sortis en une vingtaine de minutes. Page 3.
- Ledger — Un appareil piégé vendu par un revendeur. Page 3.
- Infogreffe, LDLC, Quick — Trois incidents confirmés en France. Page 3.
