if ( !emtpy($headline_subheadline ) ) : ?>
Alors que le nombre de vulnérabilités nouvellement exploitées augmente régulièrement, les exploits de preuve de concept pour les failles de haute gravité montent en flèche – et les attaquants ont une nette préférence, selon Rapid7.
endif; ?>
Les attaquants se concentrent de plus en plus sur une gamme limitée de vulnérabilités critiques pour lancer des attaques avec des failles intégrées dans des exploits en trois jours seulement.
Le dernier rapport trimestriel sur le paysage des menaces de Rapid7 révèle que le nombre de vulnérabilités nouvellement exploitées au troisième trimestre 2026 était de 43, en hausse de 19 % sur un an.
Douglas McKee, directeur du renseignement sur les vulnérabilités chez Rapid7, a toutefois déclaré qu’il serait erroné d’interpréter ces 19 % comme une indication d’une « montée lente et régulière de l’exploitation ».
« Les nouveaux CVE de haute gravité, ceux notés de 7 à 10, sont en hausse de 133 % d’une année sur l’autre, et le code de validation de principe accessible au public est en hausse d’environ 86 % sur la même période », a déclaré McKee. « Ainsi, la pile de choses qui pourraient être exploitées augmente beaucoup plus rapidement que l’ensemble des choses que les attaquants choisissent réellement d’exploiter. »
Ligne de production d’exploits accélérée
Rapid7 a également constaté que la majorité des messages des forums clandestins faisaient déjà référence à des CVE dans les avis aux fournisseurs ou dans le catalogue de vulnérabilités exploitées connues (KEV) de la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis quelques jours après leur divulgation.
Cela indique un reconditionnement commercial rapide des défauts connus plutôt qu’une vague de ventes zero-day véritablement nouvelles, selon Rapid7.
« Les outils d’IA font apparaître les failles plus rapidement qu’aucune équipe ne peut les trier de manière réaliste, mais les adversaires restent pointilleux sur celles qu’ils détectent et utilisent comme arme », a déclaré McKee.
Les attaquants ont exploité certaines failles de haute gravité dans un délai moyen de trois jours, 71 % de l’exploitation étant suivie par Rapid7 en une semaine. Les vulnérabilités qui ne nécessitent aucune authentification et peu ou pas d’interaction utilisateur sont privilégiées pour une exploitation à distance.
Les défenseurs doivent s’adapter à un monde dans lequel les failles de grande gravité sont transformées en exploits en quelques jours plutôt qu’en quelques semaines.
« Une fois qu’une nouvelle faille de grande gravité est rendue publique, vous disposez d’environ 72 heures avant que quelqu’un ne l’utilise de manière sauvage, et les attaquants ne ratissent pas large pendant qu’ils le font », a déclaré McKee.
Les attaquants de profil ciblent le plus
De nos jours, les attaquants font leurs achats dans un seul rayon : les exploits à distance, non authentifiés et sans clic.
L’étude de Rapid7 a révélé que près de 80 % de ce qui a été exploité ce trimestre pouvait être atteint à distance, sans connexion requise et sans aucun clic pour la victime.
« Si votre cadence de mise à jour contient toujours le mot « mensuel », vous vous défendez contre un adversaire qui a abandonné ce calendrier il y a longtemps », a prévenu McKee.
Plutôt que de tenter de tout mettre à jour plus rapidement, les équipes de sécurité devraient donner la priorité aux correctifs en fonction des questions de gestion des risques et des problèmes spécifiques à leurs environnements. Compte tenu des préférences actuelles des attaquants, les responsables de la sécurité devraient identifier les systèmes qui sont exposés à ce profil d’attaque distant, non authentifié et sans clic, et réfléchir au nombre de jours d’exposition qu’ils sont prêts à accepter sur chacun d’eux.
Les inquiétudes concernant les attaques orchestrées par l’IA augmentent
Mais d’après ce que Rapid7 a découvert, l’intelligence artificielle n’est apparue comme un composant opérationnel que dans environ 8 % des attaques suivies.
« Il s’agissait de gérer le milieu tactique de l’attaque, de choisir la technique suivante ou de trier les cibles qui en valaient la peine », a déclaré McKee à propos de l’utilisation de l’IA par les attaquants découverte par Rapid7. « Il ne s’agissait pas de décider à qui s’en prendre ni pourquoi. C’est quand même un humain qui a passé cet appel. »
Pourtant, d’autres experts en sécurité mettent en garde contre une vague croissante d’attaques orchestrées par l’IA.
Nazar Tymoshyk, PDG d’UnderDefense, fournisseur de solutions de sécurité basées sur l’IA agentique, a déclaré que les groupes APT russes menaient déjà des attaques basées sur l’IA et prévoyaient que d’autres seraient à venir.
Les attaquants russes et d’autres groupes APT utilisent souvent des modèles chinois tels que DeepSeek – qui a peu de contraintes ou de garde-fous – et sont souvent capables de basculer entre les modèles pour mener des attaques, a-t-il déclaré.
Tymoshyk a ajouté qu’en lançant des attaques agentiques, les pirates informatiques peuvent s’appuyer sur un pool de connaissances techniques plus approfondi (expertise en matière d’administration de bases de données, de pipelines CI/CD, etc.) que celles généralement obtenues par des équipes d’attaque conventionnelles uniquement humaines.
Les équipes humaines ont tendance à être composées de diverses personnes spécialisées dans des compétences techniques spécifiques telles que la sécurité des applications Web ou le développement de logiciels malveillants, tandis que l’abus d’outils agents donne aux attaquants un accès facile à des entités polyvalentes qu’ils ne pourraient peut-être pas facilement recruter sous forme humaine.
