Tendances des logiciels malveillants et des vulnérabilités au premier semestre 2026 : l'abus d'outils légitimes et les attaques assistées par l'IA comme caractéristiques marquantes

Au premier semestre 2026, le paysage mondial des menaces en cybersécurité présente une caractéristique intrigante : les attaquants ne se sont pas précipités pour adopter de nouvelles technologies mystérieuses, mais préfèrent plutôt « abuser d’outils et de services qui ont une apparence normale ». Des chevaux de Troie d’accès distant (RAT) aux rançongiciels, en passant par les attaques de la chaîne d’approvisionnement, les acteurs malveillants se fondent habilement dans les logiciels de confiance, les outils de développement et les flux de travail cloud. Dans son dernier rapport de recherche intitulé « H1 2026 Malware and Vulnerability Trends », Insikt Group, l’organisme de renseignement sur les menaces de Recorded Future, souligne que cette stratégie d’« évasion par la normalité » rend les activités malveillantes plus difficiles à détecter à un stade précoce par les défenseurs.

Aperçu des événements : une liste factuelle du premier semestre

Le rapport couvre les données sur les logiciels malveillants et les vulnérabilités de janvier à juin 2026, en s’appuyant sur les analyses d’Insikt Group et sur les soumissions à la plateforme Recorded Future Malware Intelligence. Les données clés sont les suivantes :

• 215 CVE activement exploitées, soit une hausse de 34 % par rapport aux 161 de la même période l’année précédente. Parmi elles, 146 vulnérabilités peuvent être exploitées sans authentification préalable, et 142 remplissent à la fois les conditions d’accessibilité réseau et d’absence d’authentification. Plus préoccupant encore, 60 vulnérabilités d’exécution de code à distance (RCE) cumulent les attributs « accessible depuis le réseau + sans authentification », ce qui signifie qu’un grand nombre de vulnérabilités peuvent être armées à distance.
• Les RAT demeurent une menace persistante pour la sécurité des entreprises. AsyncRAT, Cobalt Strike, XWorm, Stealc et REMCOS RAT figurent tous dans le top 10 au premier semestre 2025 comme au premier semestre 2026. AsyncRAT arrive en tête de toutes les soumissions de logiciels malveillants par le nombre de hashs uniques et de configurations C2.
• Les opérateurs de rançongiciels poursuivent leurs optimisations, mais n’ont pas inventé de paradigme d’attaque entièrement nouveau. Ils continuent de recourir à l’ingénierie sociale de type ClickFix, d’exploiter les vulnérabilités des applications exposées sur l’internet public, et même d’abuser directement d’outils légitimes tels que s5cmd, PsExec et AnyDesk.
• Les logiciels malveillants NFC sur Android constituent la menace mobile la plus notable. Des familles telles que NFCShare et NGate exploitent la fonctionnalité NFC des appareils pour voler les données de cartes de paiement, relayer les transactions sans contact et même retirer de l’argent aux distributeurs automatiques.

Analyse technique et des risques : les outils légitimes comme camouflage des attaquants

Exploitation des vulnérabilités : de la « nouveauté technique » à la « combinaison de risques »L’autre constat du rapport est que les acteurs de la menace ne font généralement pas de distinction entre les vulnérabilités nouvelles et anciennes lorsqu’ils les exploitent. Qu’il s’agisse d’une vulnérabilité critique tout juste divulguée ou d’une ancienne vulnérabilité existant depuis des années, les attaquants appliquent les mêmes tactiques post-exploitation. Cela signifie que, pour les entreprises, le fait qu’une vulnérabilité soit weaponisée et effectivement exposée dans les chemins d’attaque est plus pertinent que son score de base. Par exemple, parmi les vulnérabilités à la fois accessibles via le réseau et sans authentification, le risque d’exécution de code à distance est particulièrement marqué. Cette tendance s’explique par la préférence des attaquants pour le chemin de moindre résistance — utiliser des moyens conventionnels plutôt que de rechercher des chaînes d’exploitation complexes.

Le « véritable rôle » de l’IA : assistance plutôt que remplacement

Au premier semestre 2026, l’utilisation de l’IA dans le domaine des attaques est devenue plus visible, mais selon l’évaluation d’Insikt Group, la grande majorité des cas se situent encore aux niveaux 1 à 3 du modèle de maturité des logiciels malveillants IA (AIM3) de Recorded Future, à savoir les phases d’« expérimentation, d’adoption et d’optimisation ». L’IA est davantage utilisée pour résoudre des problèmes spécifiques, par exemple pour aider un logiciel malveillant à comprendre les éléments d’interface à l’écran afin de renforcer sa persistance (comme le malveillant PromptSpy), ou pour exploiter un LLM afin de générer des logiques leurres destinées à perturber les analystes en sécurité (comme l’activité CANFAIL ciblant des organisations ukrainiennes), plutôt que pour décider elle-même de l’ensemble du processus d’attaque.

Parallèlement, la recherche de vulnérabilités assistée par l’IA « amplifie » la pression sur les défenseurs. Le rapport mentionne que l’arrivée du modèle Claude Mythos Preview semble avoir fait grimper le nombre de vulnérabilités soumises : en juin, le nombre de divulgations NVD était supérieur de 43 % à la moyenne des six mois précédents, et Mozilla a également indiqué que ce modèle avait permis de corriger 271 vulnérabilités dans Firefox 150, contre seulement 22 avec le modèle de génération précédente. La croissance explosive des informations sur les vulnérabilités signifie que les équipes de sécurité doivent déterminer plus rapidement quelles vulnérabilités méritent réellement leur attention.

Chaîne d’approvisionnement et mobile : des points d’entrée négligés

Les attaques de la chaîne d’approvisionnement continuent de se propager via les environnements de développement, les gestionnaires de paquets et les chaînes d’outils d’IA. Les attaquants pénètrent dans l’écosystème cloud et logiciel en aval à l’aide d’identifiants volés, d’intégrations de confiance et de canaux de distribution de logiciels. En outre, le rapport du premier semestre 2026 mentionne également les attaques Magecart qui « passent par » des services tiers de confiance pour injecter du code malveillant dans le processus de paiement. Côté mobile, l’apparition de logiciels malveillants NFC marque une nouvelle étape pour la sécurité des paiements mobiles : ils ne cherchent plus à obtenir des mots de passe à usage unique par hameçonnage, mais détournent directement les communications NFC, permettant aux attaquants de relayer des transactions, voire de retirer de l’argent aux distributeurs automatiques (ATM).### Risques opérationnels : les capacités de sauvegarde et de restauration mises à l’épreuve

Le rapport mentionne spécifiquement que les opérateurs de rançongiciels ont adopté au premier semestre 2026 des techniques visant à « réduire les options de récupération des victimes », ce qui signifie que les entreprises ne peuvent pas se reposer uniquement sur les sauvegardes locales, mais doivent également accorder une attention particulière aux sauvegardes hors ligne, immuables, ainsi qu’à des exercices de restauration complets. Les attaquants exploitant les erreurs de configuration du stockage cloud des entreprises ou abusant d’outils tiers (tels que s5cmd) pour accéder aux données de sauvegarde constituent également un point de vigilance.

Risques de conformité et de chaîne d’approvisionnement : les tiers ne sont plus de simples « formulaires de conformité »

Lorsque les attaquants pénètrent dans les systèmes via des gestionnaires de paquets, des plugins d’IA ou des composants open source, la gestion des risques liés aux tiers et l’examen de la chaîne d’approvisionnement logicielle des entreprises doivent passer d’un « test d’intrusion ponctuel » à une surveillance continue. Parallèlement, les exigences réglementaires relatives aux fuites de données sensibles soumettront les incidents de divulgation causés par des attaques NFC ou des attaques sur les paiements à un contrôle de conformité plus strict, et accroîtront encore la probabilité d’atteinte à la réputation de la marque.

Risques de marque et de confiance : la silencieuse « activité normale » est la plus difficile à prévenir

Étant donné que les attaquants s’efforcent de se fondre dans le « trafic normal », les entreprises peuvent connaître de longues périodes de latence. Lorsque la détection finit par se produire, les attaquants ont peut-être déjà procédé à des déplacements latéraux et à l’exfiltration de données. De tels incidents frappent généralement la confiance des clients et la réputation de la marque bien plus que prévu, en particulier lorsque la cause de l’incident de sécurité est « l’abus d’un outil d’automatisation en qui nous avions confiance ».

Observations sur les tendances sectorielles : en finir avec le récit de « l’incident isolé »

En comparant le premier semestre 2026 aux situations passées, une tendance à long terme se dégage clairement : les attaquants exploitent systématiquement les « points d’ancrage de confiance » au sein de l’écosystème des entreprises. Qu’il s’agisse des environnements de développement, des outils d’accès à distance, des paiements NFC ou des plugins d’assistants IA, les attaquants ont fondé leur extensibilité sur « l’utilisation d’outils autorisés ».

L’IA n’est pas sans risque. Bien qu’aucun agent d’attaque entièrement autonome ne soit encore apparu, l’incident de Hugging Face de juillet 2026 a déjà démontré la possibilité pour des agents autonomes de réaliser la découverte, la validation, l’armement et l’exploitation avec une intervention humaine limitée. Les défenseurs doivent envisager d’automatiser également leurs processus de sécurité afin de rivaliser avec le développement d’attaques à la vitesse des machines.

Recommandations en matière de défense et de riposte : passer d’un contrôle ponctuel à un déploiement défensif complet sur toute la chaîne d’attaque

Face aux tendances ci-dessus, les décideurs en charge de la sécurité des entreprises devraient donner la priorité aux mesures suivantes :1. Renforcer la gestion de l'exposition : donner la priorité à la correction des failles d'exécution de code à distance présentant les attributs « accessible depuis le réseau » et « sans authentification », sans se fier uniquement aux scores de gravité. 2. Faire progresser la gouvernance des identités et des identifiants : activer la MFA pour les développeurs, les équipes d'exploitation et les tiers, et gérer en particulier les comptes liés aux environnements cloud et aux identifiants des gestionnaires de paquets. 3. Adopter la détection comportementale : mettre en place dans les SIEM/EDR/XDR des règles de détection des « comportements suspects d'outils de confiance », par exemple l'exécution de PsExec sur des hôtes inattendus, les nouvelles connexions anormales d'AnyDesk ou l'énumération par s5cmd de grands volumes de stockage d'objets. 4. Durcir l'environnement de développement : auditer les extensions d'outils d'IA, les bibliothèques open source et les dépendances de paquets, déployer une nomenclature logicielle (SBOM) et surveiller les dépôts ou programmes d'installation suspects. 5. Améliorer la résilience des sauvegardes : mettre en œuvre des sauvegardes immuables et des tests de restauration réguliers, en veillant à ce que les sauvegardes critiques ne partagent pas les privilèges avec l'environnement de production. 6. Sécuriser les paiements mobiles : activer des politiques de conformité sur les appareils de l'entreprise, interdire le jailbreak, limiter les autorisations des applications NFC et fournir aux employés utilisant le paiement NFC des appareils dédiés ou un contrôle des portefeuilles numériques. 7. Se préparer à l'automatisation défensive à l'ère de l'IA : renforcer la capacité à utiliser le renseignement sur les menaces pour automatiser la hiérarchisation et la correction des vulnérabilités, afin d'atténuer la pression liée à l'afflux de signalements de vulnérabilités.