Contexte du volume de vulnérabilités
Au premier semestre 2026, 35 853 CVE ont été publiés, soit une hausse de 49 % par rapport à l’année précédente. Parmi ces failles, seules 495 ont été signalées comme exploitées en conditions réelles, et 116 ont été attaquées le même jour que leur divulgation. Les modèles de génération de texte de type Mythos, développés par Anthropic, ont identifié 26 153 candidats de vulnérabilités dans des projets open‑source, mais seulement 421 ont été corrigés en amont. Ces chiffres montrent une augmentation massive du nombre de découvertes, tandis que la proportion d’exploits effectifs reste très faible.
Limites du score CVSS et besoin de contexte interne
Le score CVSS fournit une mesure de gravité standardisée, mais il ne tient pas compte de la topologie propre à chaque organisation. Une même CVE peut toucher des centaines d’actifs, dont certains sont inaccessibles, d’autres protégés par des contrôles qui interrompent la chaîne d’exploitation, et quelques‑uns exposés sur des systèmes critiques où les mécanismes de prévention échouent. Sans visibilité sur la portée réelle, les équipes de sécurité ne peuvent pas déterminer si une vulnérabilité classée « Critique » nécessite une réaction immédiate. Ainsi, le passage du score à une évaluation d’exploitabilité locale devient indispensable.
Approches de validation : pentest automatisé, validation d'exploitabilité, contrôle de sécurité
Les tests d’intrusion automatisés offrent la preuve la plus tangible qu’une faille est exploitable dans l’environnement cible. Cependant, Omdia indique que, bien que 95 % des organisations placent le pentest parmi leurs priorités, elles ne couvrent en moyenne que 32 % de leur surface d’attaque chaque année. De plus, un exploit fonctionnel doit exister et le système testé doit être autorisé à subir une exécution réelle ; les nouvelles CVE manquent souvent de preuve d’exploitation, et les actifs critiques ou isolés ne peuvent pas être soumis à des tests actifs. La validation d’exploitabilité comble ce manque en évaluant, même sans exploit disponible, la probabilité que la faille puisse être exploitées dans le contexte spécifique. Parallèlement, la validation des contrôles de sécurité mesure l’efficacité des mécanismes de prévention et de détection, confirmant s’ils bloquent ou laissent passer une attaque.
Intégration des méthodes dans une plateforme unique
Picus Security propose une plateforme qui fédère les trois capacités – validation d’exploitabilité, validation des contrôles, et pentest agentique – afin de générer un flux de preuves continu. Un incident déclenche d’abord la validation adaptée : si aucun exploit n’existe, la plateforme effectue une analyse de plausibilité ; dès qu’un PoC apparaît, le pentest agentique le déploie, puis les contrôles sont ré‑évalués après correction. Ce cycle itératif permet de ré‑ajuster les priorités de remédiation en temps réel, évitant que les tickets se ferment sans vérification post‑corrective. Le modèle a été présenté lors du Validation Summit ’26, où des responsables de Chanel, Atlassian et de la NFL ont partagé leurs retours d’expérience, soulignant une meilleure visibilité sur les chemins d’attaque et une réduction du temps entre découverte et mitigation.
