Cisco passe aux divulgations 2 fois par mois à cause de l'IA : les 5 leçons que j'en tire pour les PME françaises

— Ce que Cisco a annoncé le 2 juin 2026

Le 2 juin 2026, Russ Smoak, VP Information Security chez Cisco, a publié sur le blog officiel de l'éditeur un billet intitulé « Strengthening the Foundation: A Predictable, Customer-focused Response to AI-Accelerated Vulnerability Discovery ». La nouvelle a été reprise dès le lendemain par Axios sous le titre « Cisco to issue security disclosures twice a month amid AI bug boom ». Le message est limpide : à partir de juillet, Cisco bascule d'une divulgation au coup par coup vers un calendrier régulier de deux divulgations par mois, programmées les 1er et 3e mercredis de chaque mois.

Concrètement, chaque publication sera précédée d'un préavis de sept jours indiquant quelles technologies et plateformes seront concernées par le prochain lot de correctifs. Les systèmes d'exploitation réseau (IOS XE, IOS XR, NX-OS, Firepower/ASA, SD-WAN) bénéficieront d'un rythme trimestriel sans chevauchement entre eux. Cisco va également regrouper certaines CVE par catégorie CWE (Common Weakness Enumeration) plutôt que d'émettre un avis individuel par bug — un glissement de l'évaluation « par faille » vers une assurance « au niveau de la version ».

Le motif officiel est sans détour : l'intelligence artificielle. Sur huit semaines, Cisco indique avoir passé au crible 1,8 milliard de lignes de code réparties sur 25 langages grâce à un harnais multi-modèles. À la main, l'opération aurait demandé environ huit ans. Quand un outil divise par cinquante le temps de découverte des failles, le modèle de divulgation « un avis par bug, quand il arrive » devient ingérable — pour l'éditeur comme pour ses clients.

Live Protect : combler le délai découverte-patch

Cisco accompagne ce changement d'un nouveau produit baptisé Live Protect, conçu pour offrir un bouclier temporaire contre l'exploitation d'une vulnérabilité fraîchement découverte, le temps que le client déploie le correctif définitif. C'est l'aveu implicite d'une vérité bien connue des RSSI : le risque ne se situe pas au moment où la faille est divulguée, mais pendant la fenêtre — parfois de plusieurs semaines — entre la divulgation et l'application effective du patch sur l'ensemble du parc.

— Pourquoi c'est un tournant pour toute l'industrie

Pour bien mesurer l'enjeu, il faut sortir du cas Cisco et regarder la tendance de fond. Le nombre de CVE publiées chaque année a franchi la barre des 40 000 en 2024, dépassé 50 000 en 2025, et les projections sectorielles évoquent près de 70 000 CVE en 2026. Cette accélération n'est pas due à un logiciel soudainement plus défaillant : elle reflète l'arrivée d'outils d'analyse — souvent dopés à l'IA — capables de débusquer des bugs à une vitesse inédite, à la fois chez les éditeurs et chez les chercheurs… mais aussi chez les attaquants.

C'est là que réside le danger asymétrique. Si l'IA permet à Cisco de trouver ses propres failles plus vite, elle permet aussi à un acteur malveillant d'analyser un firmware ou une bibliothèque open source à la recherche du moindre défaut exploitable. Le rapport publié par Anthropic le 3 juin 2026, qui cartographie une année de menaces cyber facilitées par l'IA, va exactement dans ce sens : la barrière technique à la découverte de vulnérabilités s'effondre des deux côtés du front.

Pour une PME française, la conséquence est concrète : la « fenêtre de tir » entre la divulgation d'une faille et son exploitation de masse se réduit. Là où il fallait autrefois des semaines pour qu'un exploit fiable circule, on parle désormais de jours, parfois d'heures pour les vulnérabilités les plus médiatisées. Un calendrier de divulgation prévisible, comme celui de Cisco, est une bonne nouvelle — à condition d'avoir en face un processus de patch tout aussi prévisible.

— Les 5 leçons pour les PME françaises

1. La cadence de patch n'est plus optionnelle, elle est structurelle

Tant que les divulgations arrivaient de façon irrégulière, beaucoup de PME se contentaient de réagir. Avec un calendrier fixe — Patch Tuesday Microsoft, mercredis Cisco, mises à jour planifiées des autres éditeurs — l'absence de processus devient un risque permanent. Il faut un rituel : qui surveille les bulletins, qui décide, qui teste, qui déploie, et sous quel délai. C'est exactement la démarche que nous détaillons dans notre guide mettre en place une gestion des vulnérabilités en 7 étapes.

2. Le CVSS seul ne suffit plus à prioriser

Avec des dizaines de milliers de CVE par an, traiter toutes les failles « critiques » au sens CVSS est impossible pour une PME. La bonne pratique 2026 consiste à croiser trois signaux : le score CVSS (sévérité technique), l'EPSS (probabilité d'exploitation à 30 jours) et la liste CISA KEV (vulnérabilités activement exploitées). Cette combinaison permet de concentrer l'effort sur les quelques pourcents de failles réellement dangereuses, plutôt que de se noyer dans le volume.

3. Définir des SLA de remédiation écrits

Une vulnérabilité sans délai de traitement défini reste ouverte indéfiniment. Les SLA que nous recommandons à nos clients PME : 24 à 48h pour une faille critique activement exploitée, 7 à 14 jours pour une faille haute, 30 jours pour une moyenne. Ces engagements deviennent d'autant plus pertinents que NIS2 impose désormais une posture de gestion des risques documentée — un sujet que nous traitons sur notre page audit de périmètre NIS2.

4. Mettre en place une protection compensatoire

Le produit Live Protect de Cisco illustre un principe applicable partout : entre la divulgation et le patch, il faut un filet de sécurité. Virtual patching via WAF ou IPS, règles de segmentation réseau, désactivation temporaire d'un service exposé… Ces mesures compensatoires achètent du temps sans exposer l'organisation. C'est l'esprit même d'une architecture Zero Trust adaptée aux PME.

5. Anticiper que tous les éditeurs vont suivre

Cisco ouvre la voie, mais Microsoft, VMware, Fortinet, Oracle et les autres feront face à la même réalité : l'IA accélère la découverte, donc le volume de correctifs. Votre processus doit être conçu pour être scalable, pas pour traiter un éditeur à la fois. L'automatisation de la collecte des bulletins et du scan de votre parc — comme nous l'expliquons pour le déploiement d'un scanner de vulnérabilités assisté par IA — devient indispensable.

— Plan d'action concret pour les 30 prochains jours

1. 1
   Inventorier vos équipements Cisco (et autres éditeurs critiques)

   Sans inventaire à jour, impossible de savoir si un bulletin vous concerne. Listez modèles, versions et exposition Internet de vos pare-feu, switches et VPN.

2. 2
   Vous abonner aux préavis et aux flux officiels

   Suivez les avis Cisco, le CERT-FR de l'ANSSI et le catalogue CISA KEV. Le préavis de 7 jours de Cisco doit déclencher une préparation, pas une surprise.

3. 3
   Formaliser vos SLA de remédiation

   Écrivez noir sur blanc les délais par niveau de criticité (24-48h / 7-14j / 30j) et désignez un responsable. Un SLA non écrit n'existe pas.

4. 4
   Tester une protection compensatoire

   Vérifiez que vous savez activer du virtual patching ou isoler un service exposé en moins d'une heure. C'est votre Live Protect maison.

5. 5
   Documenter le tout pour NIS2

   La gestion des vulnérabilités est un pilier de la conformité NIS2. Tracez vos décisions : c'est utile en audit comme en cas d'incident.

— Perspective : la divulgation à l'ère de l'IA ne fait que commencer

L'annonce de Cisco est le premier domino visible d'une transformation profonde. Quand un éditeur peut analyser son propre code cinquante fois plus vite, deux choses se produisent : il trouve plus de failles, et il doit repenser la façon de les communiquer pour ne pas submerger ses clients. Le calendrier bimensuel et le préavis de sept jours sont des réponses de gouvernance à un problème d'échelle créé par la technologie.

Pour les PME françaises, le bon état d'esprit est de voir dans cette annonce non pas une contrainte de plus, mais une invitation à professionnaliser un processus trop souvent négligé. Les organisations qui sortiront gagnantes ne seront pas celles qui patchent le plus, mais celles qui patchent juste, vite et en traçant leurs décisions. C'est exactement ce que cherchent à favoriser des écosystèmes d'innovation responsable comme d-open.org et des acteurs techniques engagés tels que plug-tech.fr, qui poussent à mieux outiller les équipes face à l'accélération de l'IA.

Pour aller plus loin sur la mécanique du patch face à une CVE concrète, consultez notre retour d'expérience sur la manière de patcher une flotte de serveurs mail en urgence.

Sources : Blog Cisco (Russ Smoak), 2 juin 2026, Axios, Help Net Security, NVD.