Le nombre de vulnérabilités explose - mais la menace cybersécurité est-elle exagérée ?

Une année de plus, un nouveau record en cybersécurité : plus de 48 000 vulnérabilités enregistrées en 2025, et les gros titres alertent sur un monde numérique assiégé. Mais derrière ces chiffres se cache une réalité plus complexe - et moins alarmante. L’augmentation des vulnérabilités signalées s’explique davantage par l’amélioration du signalement, l’arrivée de nouveaux acteurs et l’évolution des standards que par une véritable hausse du risque cyber. Pour comprendre ce qui se passe réellement, nous avons analysé les chiffres et interrogé des experts qui suivent les failles de sécurité les plus critiques au monde.

Le jeu des chiffres : plus de rapports, plus de confusion

Depuis des années, le système Common Vulnerabilities and Exposures (CVE) sert de tableau de bord mondial des faiblesses numériques. En 2025, le compteur a atteint de nouveaux sommets, mais cette hausse est moins le symptôme d’un danger croissant que le signe d’un écosystème en maturation. Le principal moteur ? Une explosion du nombre d’organisations - appelées CNA - autorisées à attribuer des numéros CVE. Aujourd’hui, près de 500 CNA traquent les failles, contre seulement une poignée il y a dix ans.

Les sociétés de sécurité WordPress comme Patchstack, Wordfence et WPScan dominent désormais le classement, responsables de 23 % de tous les nouveaux CVE. Parallèlement, des plateformes axées sur la recherche telles que VulDB et l’équipe du noyau Linux ont intensifié leur propre signalement, attribuant parfois des CVE à chaque bug mineur par excès de prudence.

Données désordonnées, risques flous

Le flot de rapports a mis en lumière les failles du système. La National Vulnerability Database (NVD) peine à suivre, de nombreuses entrées manquant d’informations essentielles comme le score de sévérité ou la liste des logiciels concernés. Le retard accumulé était tel que les vulnérabilités antérieures à 2018 ont été marquées « différées » pour désengorger la base.

Même compter les CVE s’avère complexe : différentes organisations rapportent des totaux différents, selon la gestion des doublons et des entrées rejetées. Flashpoint, une société de renseignement sur les menaces, estime que près de 10 % des CVE sont en réalité des doublons - souvent le résultat du « farming CVE », où des outils automatisés et l’IA génèrent des rapports similaires pour des clones logiciels quasi identiques.

Que signifient vraiment ces chiffres ?

Les experts sont unanimes : plus de CVE ne signifie pas plus de danger. « Les vulnérabilités sont problématiques, les CVE ne le sont pas », explique Alec Summers de MITRE. La hausse des chiffres reflète une culture de signalement plus large et plus transparente, ainsi que la portée mondiale du programme CVE. Le véritable défi pour les entreprises n’est pas le nombre brut, mais de savoir quels logiciels elles utilisent réellement - et quelles failles comptent vraiment pour leur activité.

Les professionnels de la sécurité recommandent de miser sur une ingénierie résiliente : utiliser des bibliothèques sécurisées, réduire la surface d’attaque et suivre les actifs logiciels. En résumé ? Le déluge actuel de vulnérabilités traduit moins l’apparition de nouvelles menaces qu’un système qui éclaire enfin des failles longtemps restées cachées.

Conclusion

Alors que le monde de la cybersécurité croule sous les rapports de vulnérabilités, la panique est tentante. Mais sous le chaos, le message est clair : c’est l’amélioration du signalement, et non une flambée du risque, qui fait grimper les chiffres. Le véritable enjeu consiste à transformer ces données désordonnées en actions concrètes - et à bien connaître son propre terrain numérique.

WIKICROOK

• CVE (Common Vulnerabilities and Exposures) : Un CVE est un identifiant public unique pour une vulnérabilité de sécurité spécifique, permettant un suivi et une discussion cohérents dans l’industrie de la cybersécurité.
• CNA (CVE Numbering Authority) : Un CNA est une organisation autorisée à attribuer des identifiants CVE officiels aux vulnérabilités logicielles, facilitant leur suivi, leur partage et leur correction.
• WordPress : WordPress est une plateforme populaire permettant de créer et gérer facilement des sites web ou des blogs, sans avoir besoin de savoir coder.
• CVSS (Common Vulnerability Scoring System) : Le CVSS est un système standardisé pour évaluer la gravité des vulnérabilités de sécurité, attribuant des scores de 0 (faible) à 10 (critique) pour guider les priorités de réponse.
• Surface d’attaque : La surface d’attaque désigne l’ensemble des points par lesquels un attaquant pourrait tenter d’accéder à un système ou d’en extraire des données.