/// Signal

974 failles corrigées en un mois par Microsoft — le problème n’est pas qu’on en trouve plus

Le fait : Microsoft a corrigé 974 failles en un seul mois, un record. Oracle en a publié 1 448 en juillet 2026, contre 309 un an plus tôt. Au total, 66 401 vulnérabilités ont été recensées cette année, près du double du total à la même date l’an dernier (33 512), et bien plus que les 25 000 de toute l’année 2022.

Lu comme ça, le chiffre est terrifiant. Il ne l’est pas forcément. Jerry Gamblin, qui tient le projet de recensement cve.icu, le dit sans détour : « Plus de CVE ne veut pas dire plus de vulnérabilités. Ça veut dire plus de vulnérabilités connues, ce qui signifie surtout que le système fonctionne. » Ce que mesure ce record, c’est notre capacité à trouver, pas la dégradation du logiciel. Une faille découverte et corrigée est une faille en moins.

Ce qui a changé, c’est la vitesse de détection. Mozilla a trouvé 271 vulnérabilités dans Firefox en un seul sprint de chasse, en utilisant le modèle Mythos d’Anthropic. Chrome a corrigé 1 072 failles en juin, plus que dans les 23 versions majeures précédentes réunies. L’IA ne crée pas les trous : elle les trouve plus vite qu’on ne les trouvait à la main.

Le danger est ailleurs, et il est réel. Si la détection accélère et que la correction ne suit pas, l’écart se creuse : des développeurs dépassés par le volume, des utilisateurs qui ne peuvent pas mettre à jour assez vite, et des attaquants qui utilisent les mêmes outils pour chercher des failles inédites. Le centre britannique de cybersécurité le formule sèchement : « Trouver des vulnérabilités ne rend pas plus sûr. »

Notre lecture : ce chiffre ne dit pas que les logiciels se dégradent, il dit que la chaîne se tend. On découvre plus vite qu’on ne répare. C’est exactement ce qui s’est joué dans l’affaire Gemini cet été : la faille était connue et corrigée dans la version publiée du logiciel, mais le correctif n’était toujours pas déployé quand quelqu’un s’en est servi. La faille n’était pas inconnue. Elle était non corrigée.

Le test du retour à la moyenne : dans six mois, on citera encore ces chiffres comme la preuve que l’IA casse tout. Ce sera faux. La question qui compte n’est pas combien de failles existent, mais combien de temps met-on à les corriger. C’est là que se joue la sécurité, et c’est là que les chiffres sont mauvais.

Concrètement, pour une petite structure ou un créateur indépendant : la bonne question n’est pas « suis-je vulnérable ? », la réponse est toujours oui. C’est « qui installe les correctifs, et à quelle fréquence ? ». La plupart des gens n’ont personne à qui poser cette question. C’est précisément le problème que décrit cet article.