Principales conclusions du rapport Verizon DBIR 2026 : une remédiation des vulnérabilités plus lente face à une exploitation plus rapide

Le rapport « 2026 Verizon Data Breach Investigations Report (DBIR) » sur les violations de données révèle une tendance inquiétante : l'exploitation des vulnérabilités a bondi pour devenir le principal vecteur d'accès initial, tandis que les taux de remédiation se sont aggravés.

Points clés :

1. L'exploitation des vulnérabilités est devenue le principal vecteur d'accès initial pour les violations, représentant 31 % des violations de données au cours de la période d'étude.
2. Les efforts de correction des équipes de sécurité prennent de plus en plus de retard, le délai médian de correction s'allongeant de 11 jours au cours de la dernière année.
3. À mesure que les outils basés sur l'IA augmentent la vitesse et le volume de la découverte et de l'exploitation des vulnérabilités, la gestion de l'exposition aide les entreprises à suivre le rythme en évaluant continuellement leurs surfaces d'attaque, en priorisant le risque et en orchestrant la remédiation automatisée des faiblesses de sécurité.

Qu'est-ce que le rapport Verizon DBIR?

Le rapport annuel de Verizon Data Breach Investigations Report (DBIR) a aidé les entreprises à comprendre l'évolution des cybermenaces depuis sa première publication en 2008. Pour l'édition 2026, Tenable Research a de nouveau contribué avec des données enrichies sur les tendances en matière d'exploitation et de remédiation des vulnérabilités. Les résultats de cette année dressent un tableau sombre : Comparativement à l'année dernière, les entreprises sont confrontées à une augmentation significative du volume de vulnérabilités « à corriger impérativement » issues du catalogue KEV des vulnérabilités connues et exploitées de la CISA (Cybersecurity and Infrastructure Security Agency).

Le fossé grandissant entre la divulgation et la remédiation des vulnérabilités représente l'un des défis les plus urgents de la cybersécurité aujourd'hui. Les équipes de sécurité sont déjà débordées, tant par le nombre croissant de vulnérabilités que par le manque de temps pour la gestion des correctifs. Cette réalité souligne la nécessité cruciale d'une gestion de l'exposition globale, d'une approche stratégique de sécurité préventive, axée sur l'IA, conçue pour aider les entreprises à réduire le risque cyber en évaluant continuellement leurs surfaces d'attaque, en priorisant les risques et en orchestrant la correction automatisée des faiblesses de sécurité.

Verizon DBIR 2026 : vue d'ensemble et analyse

Le DBIR 2026 de Verizon a révélé que l'exploitation des vulnérabilités est le principal vecteur d'accès initial, représentant 31 % des violations de données au cours de la période d'étude. Encore plus préoccupant, le délai médian de correctif est passé de 32 à 43 jours, soit une augmentation de 34 %. Les résultats de cette année dressent un tableau sombre : le nombre de vulnérabilités ne cesse d'augmenter, tandis que les taux d'application des correctifs des entreprises continuent de prendre du retard.

L'explosion des CVE continue, et l'IA l'accélérera

Le paysage des vulnérabilités continue de connaître une croissance explosive, le programme CVE rapportant actuellement plus de 351 000 CVE enregistrées, et plus de 21 500 déjà réservées en 2026. Alors que nous sommes en passe d'atteindre un nouveau nombre record de CVE, cette avalanche de vulnérabilités crée une situation extrêmement difficile pour les équipes de sécurité déjà surchargées. Avec l'augmentation du temps médian de correction et la réduction des délais d'exploitation, les attaquants sont en train de gagner la course entre la divulgation et la correction.

La situation est sur le point de s'aggraver dramatiquement. La communauté de la cybersécurité est de plus en plus préoccupée par des outils de découverte de vulnérabilités alimentée par l'IA comme Claude Mythos d'Anthropic, capables d'identifier automatiquement les failles de sécurité dans les bases de code à une vitesse et une échelle sans précédent. Bien que de tels outils soient prometteurs pour les équipes de sécurité défensives, ils représentent également un point d'inflexion potentiel : si l'IA peut découvrir des vulnérabilités plus rapidement que les entreprises ne peuvent les corriger, la charge de correctifs déjà immense pourrait devenir véritablement ingérable.

Cette accélération pilotée par l'IA arrive au pire moment possible. Les entreprises ont déjà du mal à corriger les vulnérabilités, le rapport d'investigation sur les violations de données DBIR de Verizon ayant constaté que les entreprises ne corrigent avec succès que 26 % des vulnérabilités du KEV. Aggravant cette préoccupation, le DBIR souligne une augmentation de près de 50 % du nombre de vulnérabilités CISA KEV à corriger en 2025, ce qui exerce une pression encore plus forte sur les équipes de sécurité. 

Si les modèles d'IA commencent à inonder la base de données CVE de vulnérabilités nouvellement découvertes, ou pire encore, si des attaquants exploitent ces modèles pour trouver et exploiter des failles zero-day avant que les défenseurs ne puissent réagir, la crise de remédiation actuelle est susceptible de se transformer en une défaillance systémique du modèle de défense traditionnel basé sur les correctifs.

L'impératif de la gestion de l'exposition

Alors que l'exploitation des vulnérabilités domine les gros titres en tant que vecteur d'accès initial numéro un, elle ne représente qu'une partie du problème d'exposition. Le DBIR souligne notamment l'abus d'identifiants comme un autre vecteur de menace significatif, soulignant que les vulnérabilités n'existent pas de manière isolée. Les identifiants volés peuvent transformer une vulnérabilité de gravité modérée en une voie d'accès critique pour une violation de données, tandis que des configurations exposées peuvent fournir aux attaquants l'accès nécessaire pour exploiter des systèmes non corrigés.

Cette nature interconnectée des expositions souligne pourquoi de plus en plus d'entreprises adoptent une gestion de l'exposition complète. Comprendre et aborder la surface d'attaque complète, y compris les risques liés aux identités, les mauvaises configurations, les autorisations excessives et les assets vulnérables, est essentiel pour réduire le risque de violation dans le paysage des menaces actuel.

L'émergence de la découverte de vulnérabilités assistée par l'IA rend la gestion de l'exposition absolument essentielle. Alors que les outils d'IA accélèrent l'identification des vulnérabilités, les entreprises ne peuvent pas simplement tenter de patcher plus de vulnérabilités plus rapidement. Elles doivent plutôt se concentrer sur la compréhension et la correction des vulnérabilités qui comptent le plus dans le contexte de leur environnement spécifique. Une vulnérabilité récemment découverte sur un système isolé, sans identifiants exposés et avec des contrôles d'accès robustes, présente un risque bien moindre qu'une CVE plus ancienne sur un asset exposé à Internet avec une authentification faible. La plateforme de gestion de l'exposition Tenable One fournit à la fois le cadre contextuel nécessaire pour prendre ces décisions de priorisation critiques et le moteur d'orchestration agentique requis pour accélérer la remédiation à l'ère de la découverte de vulnérabilités accélérée par l'IA.

Principaux enseignements tirés des données de la période de rapport du DBIR

Alors que Tenable Research examinait les tendances des données, notre équipe a décidé de répartir les CVE par catégories de produits et de comparer les catégories qui présentaient le pourcentage le plus élevé d'assets non remédiés. Pour notre analyse, nous nous sommes concentrés sur les CVE KEV, car il s'agit de vulnérabilités connues pour avoir été exploitées et dans le viseur des attaquants. 

Comme le montre la figure ci-dessous, les vulnérabilités affectant les outils de développement ont enregistré le taux le plus élevé d'assets non corrigés, suivies par les failles de virtualisation/hyperviseur et les failles de surveillance et de gestion à distance (RMM). Alors que le processus de remédiation peut varier d'une catégorie de produits à l'autre, la tendance générale de presque toutes les catégories de produits présentant un taux de non-remédiation supérieur à 50 % démontre que les entreprises peinent toujours en matière de remédiation des vulnérabilités.

De même, nous avons examiné le nombre moyen de jours pendant lesquels les assets sont restés non corrigés, tout en le comparant au nombre de CVE affectant cette catégorie durant la période de rapport du DBIR.

L'analyse de Tenable des données renforce la dure réalité soulignée dans le DBIR de Verizon : les entreprises mettent plus de temps à corriger les vulnérabilités connues et exploitées, alors qu'elles sont confrontées à une augmentation rapide du nombre de vulnérabilités qui nécessitent une attention immédiate.

Conclusions du DBIR

Les conclusions du rapport DBIR 2026 sont préoccupantes mais ne sont pas surprenantes pour ceux qui sont en première ligne de la cybersécurité. Les données confirment ce que de nombreuses équipes de sécurité vivent au quotidien : le fardeau des correctifs s'accroît plus rapidement que la capacité des entreprises à réagir. Alors que l'exploitation des vulnérabilités est désormais le principal vecteur d'accès initial et que le délai médian de correction continue d'augmenter, l'écart entre la vitesse des attaquants et la réactivité des défenseurs ne cesse de se creuser.

Les entreprises doivent adopter une approche axée sur l'exposition qui prend en compte non seulement la présence de vulnérabilités, mais aussi le contexte de risque complet de leur environnement : 

• Quels sont les assets exposés ?
• Qui y a accès ?
• Quelles sont les informations d'authentification compromises ?
• Quelles combinaisons d'expositions créent les chemins d'attaque les plus dangereux ? 

À une époque où l'IA découvre les vulnérabilités plus rapidement que les humains ne peuvent les corriger, comprendre quelles expositions comptent vraiment représente la seule voie durable à suivre.

Le DBIR 2026, enrichi des données de Tenable Research, offre des perspectives précieuses sur le paysage des menaces actuel. Tenable encourage les professionnels de la sécurité à lire l'intégralité du rapport Verizon DBIR afin de comprendre les tendances d'attaques actuelles et d'utiliser ces conclusions pour éclairer leurs stratégies de gestion de l'exposition. La crise documentée dans ce rapport signale que le modèle traditionnel centré sur les vulnérabilités nécessite une évolution fondamentale vers une gestion de l'exposition complète et pilotée par l'IA.

Identification des systèmes affectés

Tenable offre une couverture de détection complète pour le catalogue KEV de la CISA, avec des capacités de détection déployées rapidement suite à la divulgation d'une vulnérabilité. Cette couverture s'étend à diverses catégories d'assets, permettant une visibilité complète sur les vulnérabilités activement exploitées dans vos environnements. Les CVE du catalogue KEV auront un tag sur les pages CVE individuelles, et vous pouvez parcourir nos prochains plug-ins sur notre page Plugins Pipeline.

En savoir plus 

• Verizon 2026 Data Breach Investigations Report (DBIR)

Rejoignez l'équipe Research Special Operations (RSO) de Tenable sur Tenable Connect pour poursuivre les discussions sur les dernières cybermenaces.

En savoir plus sur Tenable One, la plateforme de gestion de l'exposition pour la surface d'attaque moderne.