En juin 2026, lors du célèbre “mardi des patchs” de Microsoft, un record a été établi avec 206 vulnérabilités, dont trois étaient “zero day”. En juillet, ce chiffre a été rapidement dépassé, triplant les vulnérabilités recensées. Ce phénomène n’est pas isolé, car d’autres géants comme Oracle, Chrome ou Firefox ont également observé une augmentation des failles à corriger. Ce renouveau est attribué à l’intelligence artificielle (IA) qui détecte ces problèmes, renforçant ainsi la sécurité du logiciel. Néanmoins, cela soulève un problème préoccupant.
Un dilemme inédit. Pendant des décennies, la découverte de failles sérieuses dans un logiciel nécessitait du temps, des experts et souvent une pincée de chance. Aujourd’hui, l’IA bouscule cet équilibre. Elle peut parcourir des bases de code massives, les analyser et identifier des défauts à une vitesse inédite. Théoriquement, cela devrait conduire à un logiciel plus sécurisé. Cependant, la rapidité de détection dépasse celle des humains pour vérifier, corriger, prioriser et déployer des correctifs.
De l’analyse au diagnostic. Les analyses automatiques de code ne sont pas nouvelles. Les grandes entreprises technologiques utilisent depuis longtemps le “fuzzing”, une méthode qui soumet les applications à des données inattendues pour provoquer des erreurs. La différence majeure réside dans l’IA, capable de lire le code source et de créer des connexions entre des éléments apparemment distincts. Mozilla note qu’auparavant, seules quelques rares élites en cybersécurité pouvaient réaliser de tels diagnostics.
Un coup d’accélérateur pour Chrome. Google a corrigé 1 072 vulnérabilités dans les versions 149 et 150 de Chrome, publiées en juin 2026. Ce chiffre dépasse les 1 036 failles corrigées dans les 23 versions publiées au cours des deux dernières années. Selon Google, cette augmentation est en grande partie due à l’usage de l’IA, transformant la recherche de défauts en un processus automatisé à grande échelle.
Une cadence soutenue. Chrome vise désormais des périodes de mise à jour toutes les deux semaines, avec des correctifs de sécurité toutes les semaines. Face à la montée de ces patchs, l’équipe envisage une fréquence encore plus accrue : deux mises à jour par semaine. Ce rythme, bien que garantissant une sécurité accrue, oblige les utilisateurs à rester constamment à jour.
Firefox en première ligne. Mozilla a appliqué une version initiale de Claude Mythos pour détecter 271 vulnérabilités dans Firefox 150. En utilisant une approche antérieure, d’autres problèmes avaient également été révélés. Mozilla affirme qu’aucune faille détectable par des humains n’échappe maintenant à ce modèle avancé.
Microsoft sous pression. En juillet 2026, Microsoft a corrigé 622 CVE (contre 206 en juin). Parmi celles-ci, 59 étaient des vulnérabilités critiques, dont trois “zero day” exploitées activement. Bien que Microsoft ait anticipé une hausse des mises à jour, le volume actuel dépasse leurs prévisions.
Oracle face à ses défis. Lors de sa mise à jour trimestrielle, Oracle a traité 1 449 patchs. Seuls 64 d’entre eux avaient été identifiés par des chercheurs externes, soulignant le rôle central joué par l’IA. Cependant, ce nombre élevé impose une mise à jour rigoureuse pour éviter que les cybercriminels n’en profitent.
Un son de cloche ambigu. Il est essentiel de comprendre que toutes les vulnérabilités n’ont pas la même gravité ni la même urgence. Par exemple, parmi les 1 449 patchs d’Oracle, seuls dix étaient classés comme critiques. Les chiffres peuvent impressionner, mais les administrateurs doivent faire preuve de discernement pour prioriser les mises à jour, afin d’éviter de créer de nouveaux conflits. Au final, cela soulève la question : est-il parfois vrai que « le remède pourrait être pire que le mal » ?
Image | Mohammad Rahmani
Points à retenir
- La détection de vulnérabilités a explosé grâce à l’IA, une avancée qui redéfinit la cybersécurité.
- Des logiciels comme Chrome et Firefox trouvent des failles à une cadence sans précédent, nécessitant des mises à jour fréquentes.
- Toutefois, toutes les failles ne présentent pas le même degré de dangerosité.
- Les administrateurs de système doivent désormais prioriser les mises à jour sous peine de créer d’autres problèmes.
En tant qu’observateur passionné des évolutions technologiques, je reste à l’affût des implications de ces découvertes. Cette dynamique repositionne l’équilibre entre sécurité et praticité, soulevant des questions sur notre capacité à gérer efficacement le virage d’une cybersécurité plus réactive face à l’accélération des menaces. Comment, en tant qu’utilisateurs, devons-nous nous adapter à ces attentes croissantes ?