Deux sources, comptées le même matin
Le 27 juillet à dix-neuf heures, la CISA a publié la version 2026.07.27 de son catalogue des vulnérabilités connues comme exploitées. Deux entrées y sont entrées : une faille dans Fortinet FortiOS et une injection de commandes dans le VeloCloud Orchestrator d'Arista. Le catalogue atteignait alors 1 655 entrées, c'est-à-dire tout ce que l'agence a pu confirmer comme attaqué depuis l'ouverture de la liste en 2021.
Le lendemain matin, nous avons interrogé l'autre source. La National Vulnerability Database, gérée par le NIST, indique combien de vulnérabilités portent une date de publication à l'intérieur de n'importe quelle période demandée. Du 1er janvier au 28 juillet 2026, la réponse est 45 601. Pour la même période en 2025, elle est de 28 032. Pour 2024, de 23 486.
Ces deux chiffres sont publics, tous deux gratuits, et presque personne ne les met côte à côte. Rapprochés, ils disent quelque chose que la couverture de cette semaine a totalement manqué.
Il n'y a pas de doublement
Commençons par l'affirmation qui a le plus voyagé. Depuis lundi circule le chiffre d'environ 45 000 failles et la prévision d'une année qui doublerait la précédente. La première moitié est exacte. La seconde ne l'est pas.
209 jours de 2026 ont produit 45 601 vulnérabilités publiées. Au même rythme jusqu'au 31 décembre, on arrive près de 79 600. L'année 2025 complète s'est arrêtée à 49 972. Cela fait un multiple d'environ 1,6, et non de 2.
La nuance n'est pas de la pédanterie, car le chiffre inférieur reste exceptionnel. Une hausse de 60 pour cent en une seule année est la plus forte que contienne l'historique, et 2026 a déjà dépassé 91 pour cent de tout ce que 2025 a produit alors qu'il reste cinq mois. Tenir au chiffre exact compte, parce que le chiffre gonflé appelle la mauvaise réaction. Un doublement sonne comme une urgence qui justifie de doubler une équipe. 1,6 fois sonne pour ce que c'est : un déplacement structurel de l'offre qu'aucun recrutement n'absorbera.
La courbe de l'exploitation n'a pas suivi
Voici le nombre qui devrait gouverner la décision. Sur les 45 601 vulnérabilités publiées cette année, 171 ont été ajoutées au catalogue d'exploitation confirmée. Cent entrées seulement, dans l'ensemble du catalogue, portent un identifiant de 2026.
Refaites le calcul du côté de l'exploitation. 171 ajouts en 209 jours donnent un rythme d'environ 299 pour l'année. La CISA en avait ajouté 245 sur toute l'année 2025. Ainsi, pendant que la publication grimpait de 63 pour cent, l'exploitation confirmée a progressé d'à peu près un cinquième.
Les deux courbes ont divergé, et l'écart s'élargit chaque mois. Quelle que soit la cause de cette vague de publications, et les éditeurs reconnaissent assez ouvertement que la découverte automatisée y pèse lourd, elle produit des trouvailles plus vite que quiconque ne les transforme en attaques. Le nombre publié a cessé d'être une approximation du travail qui vous attend. Il mesure désormais la quantité de recherche que le secteur parvient à soutenir, ce qui est une autre question, avec une autre réponse.
Une réserve honnête, car elle précise la consigne au lieu de l'affaiblir. L'absence du catalogue ne prouve pas que personne n'exploite une faille. La liste enregistre ce qu'une agence peut confirmer, et la confirmation arrive en retard. C'est un argument pour traiter la preuve d'exploitation comme le signal le plus solide dont on dispose, pas pour lire son absence comme un feu vert.
Ce que la réglementation demande vraiment
Presque toutes les politiques de vulnérabilités rédigées en Europe ces trois dernières années contiennent une phrase de cette forme : tout ce qui atteint 7,0 est corrigé sous trente jours. Celui qui a écrit cette phrase en 2023 a souscrit à une charge de travail qui a depuis augmenté de deux tiers sans lui demander son avis.
Il vaut la peine de vérifier d'où vient cette phrase, car elle ne vient pas du régulateur. NIS2 range le traitement et la divulgation des vulnérabilités parmi les mesures de gestion des risques qu'une entité concernée doit appliquer, et rattache toute l'obligation à sa proportionnalité au risque réellement encouru. Le texte ne nomme aucun système de notation et ne fixe aucun seuil. DORA procède de même pour les entités financières : hiérarchiser la correction selon la criticité de ce qui est touché, sans qu'aucun chiffre fixe ne figure dans le texte.
Le seuil était donc une invention maison, adoptée parce qu'elle était auditable. Elle le reste. Elle a simplement cessé d'être finançable, et aucun des deux instruments ne l'a jamais exigée.
Réécrire la règle, pas les effectifs
Le changement pratique est modeste et tient dans ce trimestre. Placez l'exploitation confirmée en tête de file, avec un compteur en jours. Tout le reste conserve un ordre par gravité mais perd son délai automatique et se traite dans le rythme de maintenance habituel, sur les systèmes qui comptent vraiment chez vous.
Deux appuis rendent ce choix défendable devant un auditeur. Consignez par écrit quelle source externe vous tenez pour faisant autorité et pourquoi, afin que la hiérarchisation soit une méthode documentée et non une appréciation. Et enregistrez la décision d'exposition pour les systèmes que vous reportez, car après un incident, une autorité demande s'il existait un processus motivé, pas si vous avez tenu un chiffre.
Les équipes qui souffriront dans les dix-huit prochains mois sont celles dont la politique est arithmétiquement impossible et dont les auditeurs ne l'ont pas encore remarqué. Le compteur va continuer de monter. L'ensemble de ce qui est réellement employé contre vous ne monte pas du tout au même rythme, et il est publié chaque semaine gratuitement.
À lire ensuite: Votre sandbox attaquée un mois avant l'alerte | Un seul message a atteint les clés SSH
