Les organisations sont confrontées à une accumulation croissante de vulnérabilités logicielles non résolues
La dette de sécurité augmente rapidement, et c’est une mauvaise nouvelle pour toutes les entreprises qui dépendent d’une infrastructure numérique, ce qui est le cas de la plupart d’entre elles. Le rapport 2026 State of Software Security de Veracode a révélé que 82 % des organisations présentent aujourd’hui des vulnérabilités non résolues, contre 74 % l’année précédente. Plus inquiétant encore, 60 % de ces organisations sont confrontées à une « dette de sécurité critique ». Il ne s’agit pas de failles mineures ou de bogues oubliés. Il s’agit de problèmes graves et exploitables qui n’ont pas été résolus depuis plus d’un an.
Cette situation révèle un déséquilibre évident : le développement de logiciels ne cesse de s’accélérer, mais la capacité à corriger les vulnérabilités reste à la traîne. Il en résulte une accumulation de failles connues qui restent actives dans les systèmes de production. Ces faiblesses héritées du passé créent un fardeau à long terme qui épuise les ressources, augmente les risques et sape la résilience de l’entreprise. Une détection plus rapide ne garantit plus des systèmes plus sûrs si les capacités de remédiation ne peuvent pas suivre.
Pour les dirigeants, il s’agit d’un signal qui les incite à prendre la dette de sécurité aussi au sérieux que la dette financière. Les deux créent des responsabilités cachées qui peuvent paralyser les opérations si elles sont ignorées. Renforcer les processus de gestion des correctifs et donner aux équipes de sécurité les outils nécessaires pour agir plus rapidement peut réduire ce risque croissant. Une approche proactive, qui consiste à résoudre les vulnérabilités à fort impact avant qu’elles ne s’accumulent, protège la continuité des opérations et la réputation de l’entreprise.
Le rapport de Veracode a analysé un vaste ensemble de données, 1,6 million d’applications et 141 millions de résultats, et a constaté que près de la moitié de toutes les applications contiennent encore des vulnérabilités datant de plus d’un an. Il ne s’agit pas de problèmes isolés, mais de faiblesses structurelles qui requièrent une attention soutenue de la part des dirigeants.
Le rythme accéléré du développement des logiciels a dépassé la capacité des organisations à remédier efficacement aux vulnérabilités.
Les logiciels sont créés plus rapidement que jamais. Les nouveaux outils de développement, les méthodologies agiles et le codage assisté par l’IA ont porté la productivité à des niveaux sans précédent. Mais cette même rapidité révèle aujourd’hui une faille dans la manière dont les entreprises gèrent leur propre sécurité. Le volume de vulnérabilités augmente plus vite que la capacité à les corriger.
Chris Wysopal, Chief Security Evangelist chez Veracode, l’a dit directement : « La vitesse de développement des logiciels est montée en flèche, ce qui signifie que le rythme de création des failles dépasse la capacité actuelle de remédiation. » Même si les outils de détection peuvent désormais identifier les problèmes plus tôt et avec plus de précision, le processus de correction n’a pas évolué en conséquence. Dans de nombreux cas, la charge de travail dépasse tout simplement les capacités disponibles en matière d’ingénierie de la sécurité.
Pour les dirigeants, cela devrait permettre de recalibrer la façon dont les performances sont mesurées. Des déploiements plus rapides perdent de leur valeur si des vulnérabilités se glissent dans chaque cycle de publication. L’efficacité doit inclure la vélocité de la sécurité, c’est-à-dire la vitesse à laquelle les menaces détectées sont corrigées. L’allocation de ressources à la remédiation automatisée et le renforcement de l’intégration entre les équipes de sécurité et de développement contribuent à compenser ce déséquilibre.
Les données confirment l’urgence. Veracode fait état d’une augmentation de 36 % d’une année sur l’autre des vulnérabilités les plus dangereuses, celles qui sont à la fois très graves et facilement exploitables. L’implication est simple : l’accélération du développement sans amélioration parallèle des processus de remédiation rend les entreprises plus vulnérables, et non plus agiles.
Pour aller de l’avant, les organisations doivent aligner leurs opérations de sécurité sur leur vitesse de développement. L’équilibre est la seule voie durable, un logiciel rapide doit aussi être un logiciel sûr.
Le code tiers est un facteur important de vulnérabilités persistantes et à haut risque.
Les logiciels modernes dépendent fortement de composants externes, de bibliothèques open-source, de frameworks et d’intégrations tierces. Si cela accélère l’innovation, cela élargit également la surface d’attaque. Le rapport de Veracode montre que 66 % des failles de sécurité critiques proviennent aujourd’hui de codes tiers. Cela signifie que la plupart des vulnérabilités à long terme et à fort impact auxquelles les entreprises sont confrontées ne proviennent pas de leurs propres développeurs, mais du code qu’elles héritent des autres.
Ces dépendances introduisent un risque qu’il est souvent difficile de contrôler et de corriger. Une fois qu’un composant tiers est intégré, il peut apparaître dans des dizaines, voire des centaines d’applications. La mise à jour ou la correction de ces composants nécessite une coordination entre plusieurs équipes et unités commerciales, ce qui est rarement rapide ou simple. Plus ces vulnérabilités restent longtemps non résolues, plus le coût potentiel de leur exploitation est élevé.
Pour les dirigeants, il s’agit d’une question opérationnelle et de gouvernance, et non d’une question purement technique. La gestion des risques liés aux tiers exige une visibilité sur l’ensemble de la chaîne d’approvisionnement en logiciels. Les dirigeants doivent donner la priorité à des audits réguliers, s’assurer que les fournisseurs respectent les meilleures pratiques en matière de sécurité et veiller à ce que les mises à jour des composants soient intégrées dans les processus de développement. L’instauration de cette discipline ne ralentit pas l’innovation, mais garantit qu’elle peut évoluer en toute sécurité.
Les conclusions de Veracode s’appuient sur des tests très variés : analyse statique, analyse dynamique, analyse de la composition des logiciels et tests de pénétration via sa plateforme cloud. La cohérence de ces méthodes de test renforce l’idée que le risque lié aux tiers est systémique. Des contrôles efficaces sur les bases de code externes sont désormais aussi essentiels à la gouvernance que les contrôles financiers.
La gravité et l’exploitabilité des vulnérabilités ont tendance à augmenter, ce qui accroît les risques pour la sécurité.
Les vulnérabilités deviennent non seulement plus nombreuses, mais aussi plus dangereuses. Veracode a constaté une augmentation de 36 %, d’une année sur l’autre, des failles qui sont à la fois très graves et facilement exploitables. Ce sont ces faiblesses que les attaquants peuvent utiliser pour accéder rapidement à des systèmes critiques. Le fait que leur nombre augmente si rapidement devrait inquiéter toutes les équipes dirigeantes responsables des opérations numériques.
Des vulnérabilités plus graves signifient une plus grande exposition. Même avec des outils de détection améliorés, de nombreuses organisations ne sont toujours pas en mesure d’appliquer des correctifs suffisamment rapidement pour éviter l’escalade. Dans la pratique, cela crée un écart croissant entre ce que les entreprises identifient et ce qu’elles peuvent se permettre de réparer à temps. Il en résulte un environnement de sécurité plus instable où le coût de la complaisance ne cesse d’augmenter.
Pour les dirigeants, la conclusion est claire : la stratégie de sécurité doit passer d’une large couverture à un ciblage précis. Essayer de corriger toutes les failles, c’est disperser les équipes et diluer l’impact. Au lieu de cela, les organisations doivent concentrer leurs ressources sur les failles qui représentent des menaces immédiates et mesurables. Cela nécessite une priorisation en temps réel, guidée à la fois par les données d’exploitabilité et l’impact sur l’entreprise.
En investissant dans une meilleure connaissance des vulnérabilités et en définissant des priorités claires en matière de remédiation, les décideurs peuvent réduire l’exposition tout en améliorant la résilience globale du système. La tendance à la multiplication des failles exploitables ne doit pas se traduire par une augmentation des risques, à condition que les organisations réagissent avec la même rapidité et la même concentration.
Une stratégie de remédiation ciblée et basée sur les risques est essentielle pour gérer efficacement la dette de sécurité.
La dette de sécurité n’est plus une question secondaire, elle devient l’un des défis les plus critiques pour les entreprises numériques. Veracode recommande une réponse pragmatique et fondée sur des preuves : le cadre « Protéger, Prioriser et Prouver ». Cette approche permet d’affecter les ressources là où elles sont les plus importantes, en mettant l’accent sur la protection des systèmes critiques, la hiérarchisation des priorités en fonction de l’exploitabilité dans le monde réel et la preuve de la conformité grâce à des résultats mesurables.
Cette stratégie incite les organisations à ne plus traiter toutes les vulnérabilités de la même manière. Elles devraient plutôt se concentrer sur les failles susceptibles de perturber les opérations ou d’exposer des données sensibles. Les conclusions de Veracode soulignent qu’environ 11,3 % des vulnérabilités présentent des dangers réels et concrets. En s’attaquant d’abord à ces failles, on peut réduire considérablement les risques opérationnels et contribuer à limiter les coûts à long terme. La remédiation automatisée devrait également être appliquée dans la mesure du possible, en particulier pour les systèmes et les actifs de grande valeur.
Chris Wysopal, Chief Security Evangelist chez Veracode, l’a dit clairement : « Les équipes doivent donner la priorité aux 11,3 % de failles qui représentent un danger réel, protéger leurs actifs critiques grâce à une remédiation automatisée et prouver que leur posture de sécurité répond aux exigences rigoureuses de la conformité moderne. » Son message souligne que la gestion de la dette de sécurité ne consiste pas à tout corriger, mais à corriger ce qui est vraiment important.
Pour les dirigeants, cela signifie qu’il faut orienter la stratégie vers un impact mesurable. La meilleure posture de sécurité ne vient pas du simple volume de correctifs, mais de l’agilité et de la clarté de l’action. Les dirigeants doivent s’assurer que les équipes sont en mesure d’identifier les vulnérabilités qui menacent les systèmes essentiels et de les éliminer rapidement. Ils doivent également s’attendre à une visibilité claire sur la façon dont les performances de remédiation s’alignent sur les objectifs de risque et de conformité.
Cette approche disciplinée transforme la gestion des vulnérabilités d’une lutte constante en un processus stratégique. En se concentrant sur les menaces les plus importantes, les entreprises peuvent réduire leur exposition, évoluer en toute sécurité et démontrer leurs progrès en toute confiance dans un environnement où la conformité et la résilience ne sont plus facultatives, mais attendues.
Principaux faits marquants
- L’augmentation de la dette de sécurité exige l’attention des dirigeants : La majorité des organisations ont aujourd’hui des vulnérabilités à long terme non résolues, 82 % d’entre elles faisant état d’une dette active en matière de sécurité. Les dirigeants devraient investir dans des processus de remédiation plus rapides et consacrer des ressources à l’élimination des retards critiques avant que le risque opérationnel ne s’aggrave.
- La vitesse de développement dépasse la capacité de remédiation : Les logiciels sont construits plus rapidement qu’ils ne peuvent être sécurisés, ce qui crée des points d’exposition dangereux. Les dirigeants doivent trouver un équilibre entre l’innovation et des stratégies de remédiation solides et mesurer le succès en fonction de la vitesse de développement et de la sécurité.
- Les dépendances de tiers sont à l’origine de risques persistants : Deux tiers des vulnérabilités critiques trouvent leur origine dans des composants de code externes. Les dirigeants devraient mettre en place une surveillance plus stricte de la chaîne d’approvisionnement, un contrôle continu des vulnérabilités des logiciels des fournisseurs et une responsabilité claire en ce qui concerne le code source ouvert.
- Les vulnérabilités sont de plus en plus graves et exploitables : Le nombre de failles graves et facilement exploitables a augmenté de 36 % d’une année sur l’autre. Les décideurs doivent s’assurer que les ressources ciblent les menaces les plus susceptibles de perturber les opérations et donner la priorité aux renseignements exploitables plutôt qu’aux mesures basées sur le volume.
- Une stratégie basée sur le risque est essentielle pour une sécurité durable : Le modèle « Protect, Prioritize, and Prove » de Veracode met l’accent sur les 11,3 % de vulnérabilités qui représentent un danger réel. Les dirigeants devraient promouvoir des cadres qui donnent la priorité à la remédiation axée sur l’impact, automatisent la protection des systèmes critiques et démontrent l’intégrité de la conformité.
