Les vulnérabilités de gravité élevée ont été exploitées activement en moyenne trois jours après leur divulgation au cours du troisième trimestre 2026, selon les conclusions de Rapid7 relayées par SecurityWeek. Soixante et onze pour cent d'entre elles ont été exploitées dans les sept premiers jours.
Rapid7 a classé 79 % des vulnérabilités exploitées parmi les failles dites « holy grail » : des faiblesses qui peuvent être attaquées à distance, sans identifiants ni interaction locale de l'utilisateur. Cette combinaison laisse aux défenseurs peu de temps pour évaluer l'exposition, tester les correctifs et déployer des protections avant que les adversaires ne commencent à opérer contre les systèmes vulnérables.
Ces chiffres font apparaître une priorité concrète pour les équipes de sécurité : les processus de remédiation doivent distinguer les vulnérabilités exploitables à distance et sans authentification des failles qui exigent une présence préalable sur le système ou une action de l'utilisateur. Les systèmes exposés à des réseaux non fiables méritent l'examen le plus rapide lorsqu'une vulnérabilité nouvellement divulguée remplit ces conditions.
Les revendications de rançongiciels se concentrent sur les services, l'industrie manufacturière et la santé
Rapid7 a décrit les rançongiciels comme une menace mondiale majeure au cours du trimestre. Les services aux entreprises, l'industrie manufacturière et la santé étaient les secteurs les plus fréquemment ciblés dans ses données.
Les États-Unis représentent 60 % des attaques, devant l'Allemagne (7 %), l'Italie (5 %) et le Canada (5 %). Les victimes de rançongiciels dans le secteur public ont augmenté de 15 % par rapport aux trois mois précédents, tandis que la part des États-Unis dans les victimes de ce secteur est passée de 33 % au deuxième trimestre 2026 à 45 % au troisième trimestre 2026.
Par nombre d'incidents revendiqués, les groupes de rançongiciels les plus actifs étaient :
| Groupe | Incidents revendiqués |
|---|---|
| The Gentlemen | 342 |
| Qilin | 339 |
| INC Ransom | 99 |
| DeadLock | 98 |
| Krybit | 95 |
Ces chiffres correspondent aux incidents revendiqués par les opérateurs de rançongiciels. À eux seuls, ils ne permettent pas d'établir le nombre de victimes confirmées ni de prouver que des données ont été volées dans chaque cas.
Rapid7 a également observé un marché souterrain orienté vers la fourniture d'accès initiaux. Sur 63 annonces surveillées, 41 proposaient un accès RDP ou réseau, tandis que 14 concernaient la vente, l'échange ou la discussion d'exploits et de failles zero-day. Les offres allaient de comptes individuels compromis, dont des identifiants bancaires accompagnés de données d'identité « complètes » pour au moins trois grandes banques américaines, à l'accès à l'intérieur de réseaux d'entreprise.
L'IA soutient l'exécution des attaques mais ne remplace pas encore les opérateurs
L'intelligence artificielle est apparue comme composant opérationnel dans 8 % des incidents suivis par Rapid7 au troisième trimestre 2026. Ce pourcentage ne vaut que pour l'ensemble d'incidents suivi par Rapid7.
Les observations de l'entreprise ne confirment pas un basculement généralisé vers des attaquants autonomes. Douglas McKee, directeur du renseignement sur les vulnérabilités chez Rapid7, a déclaré que la découverte de vulnérabilités assistée par l'IA s'accélère, mais que les données du trimestre ne montraient pas de vague correspondante d'exploitation pilotée par l'IA.
Dans chaque cas documenté par Rapid7, ce sont des personnes qui ont choisi la cible et déterminé l'objectif. En revanche, l'automatisation se développait dans ce que l'entreprise décrit comme la phase tactique intermédiaire d'une intrusion : choix des techniques, tri des cibles et reprise après une étape échouée.
Rapid7 a également signalé des tentatives de contournement des garde-fous des fournisseurs d'IA, consistant à répartir un objectif malveillant sur plusieurs sessions. Une demande directe dans une session peut être bloquée, tandis qu'une suite d'invites réparties sur plusieurs sessions peut rendre l'objectif global plus difficile à identifier.
Pour les défenseurs, Rapid7 recommande de surveiller l'activité des API d'IA provenant d'hôtes ou de processus inattendus. Cette télémétrie peut révéler une utilisation non autorisée d'outils ou une automatisation s'exécutant depuis des systèmes qui ne communiquent normalement pas avec des services d'IA.
L'entreprise juge probable que des attaques entièrement automatisées et assistées par l'IA se produisent dans les prochaines années, mais elle présente cela comme une prévision plutôt que comme une activité observée au troisième trimestre 2026.
Les opérations d'États ajoutent de nouveaux outils Linux
Rapid7 a suivi 15 groupes distincts liés à des États au cours du trimestre. Les clusters nommés comprenaient ENERGETIC BEAR, Void Blizzard et Sandworm, liés à la Russie ; APT31, lié à la Chine ; Lazarus, de Corée du Nord ; et Operation C-Major, rattachée au Pakistan.
Les organisations gouvernementales sont restées les cibles principales. Les organisations des secteurs de la défense, des transports, des médias, de la santé, de l'aérospatiale, de la finance, de l'énergie et des technologies ont également été visées.
Rapid7 a documenté une boîte à outils Linux appelée ted, composée de trois composants distincts :
- une version de HAProxy trojanisée ;
- un keylogger SSH ;
- un cheval de Troie d'accès à distance basé sur curl
Rapid7 attribue ted à des acteurs nord-coréens et indique qu'il était utilisé contre des organisations sud-coréennes depuis le début de 2025. La boîte à outils désigne le logiciel malveillant et l'ensemble de ses capacités ; les opérateurs liés à la Corée du Nord sont les acteurs auxquels il est attribué.
Par ailleurs, selon Rapid7, l'opération C-Major est active depuis le milieu des années 2010. Ses opérateurs recourent à l'hameçonnage et à des logiciels espions mobiles dans des opérations d'espionnage visant le personnel militaire et diplomatique indien.
Au-delà de ces constats, la pression défensive immédiate tient avant tout à la vitesse : les vulnérabilités qui permettent un accès à distance sans authentification peuvent passer de la divulgation à l'exploitation en quelques jours, tandis que les courtiers en accès proposent des points d'appui compromis à d'autres opérateurs. Le tri rapide des correctifs et la surveillance d'une utilisation inattendue des API d'IA concernent des étapes différentes de cette chaîne de menace : l'intrusion initiale et l'exécution automatisée à l'intérieur de l'environnement.
