Nous sommes le 27 juillet 2026 et un compte GitHub tout juste créé publie une série d’avis de vulnérabilité visant SQLite.
L’alerte fait rapidement le tour des hautes instances cyber : il s’agit ici du moteur de base de données embarqué le plus utilisé au monde.
L’une des vulnérabilités référencées sous le code CVE-2026-51302 décrit une faille de type use-after-free jugée si sérieuse qu’elle décroche d’abord un score CVSS parfait de 10 sur 10. La NVD, base de données officielle du gouvernement américaine, la classe critique, le programme de la CISA, lagence de cybersécurité fédérale valide, puis le centre néerlandais de cybersécurité (NCSC) publie à son tour une alerte reprenant l’avis.
Problème, selon une analyse publiée par JFrog Security le 31 juillet, la fonction visée par la faille n’existe pas dans la version de SQLite mise en cause.
De la bouillie générée par IA, et un système sans garde-fou
Après ce premier signe d’alerte, les chercheurs ont donc entrepris de comparer tous les avis au code source réel de SQLite et de tester les preuves de concept fournies. Aucune ne fonctionne.
Pire, selon les équipes de JFrog, les avis publiés présentent tous des marqueurs de contenu généré par IA. Sur 55 avis analysés, 54 se révèlent entièrement fabriqués.
La faute selon eux à la fin de la validation humaine et manuelle de chaque entrée avant publication : « Historiquement, le NIST faisait office de filet de sécurité fiable pour ce système : les experts de la National Vulnerability Database (NVD) analysaient, validaient et enrichissaient manuellement les CVE entrantes avant de leur donner leur approbation. Mais ce filet de sécurité a cédé en février 2024. »
C’est à cette date que le NIST a reconnu ne plus arriver à traiter toutes les CVE qui lui sont soumises, faute de moyens suffisants.
Des réactions au retrait officiel
Selon Richard Hipp, développeur historique de SQLite, le numéro CVE avait été attribué par une autorité de numérotation puis intégré par MITRE sans contrôle supplémentaire.
Il aura fallu, de son propre aveu, une insistance particulière pour obtenir le retrait de CVE-2026-51302. Un épisode qui risque d’alimenter le ras-le-bol plus large face à l’afflux de rapports générés par des agents IA.
La fiche du NIST concernant cette faille imaginaire affiche désormais la mention suivante : « Cet enregistrement a été retiré par son CNA. Une enquête plus approfondie a démontré qu’il ne présentait aucun risque pour la sécurité. » Le NCSC néerlandais, qui avait relayé l’alerte, l’a lui aussi retirée, précisant que la CVE avait été hallucinée par un grand modèle de langage.
JFrog dit avoir signalé ses conclusions à Red Hat et au NVD pour faire corriger les autres entrées douteuses, et recommande de ne jamais faire confiance à une CVE tout juste publiée sans en vérifier la source et tenter de la reproduire.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !