Lecture Zen Résumer l'article Une faille critique CVE-2026-51302 dans SQLite, notée 10/10, s'est avérée inexistante, signalée par erreur à travers des rapports et des validations basés sur des contenus générés par IA. L'alerte a été diffusée par le NIST, la CISA et le centre de cybersécurité néerlandais, mais aucune preuve cohérente n'a confirmé la vulnérabilité, révélant une absence de validation humaine. Après l'insistance de Richard Hipp, développeur de SQLite, le retrait officiel de la CVE a été obtenu, alimentant la méfiance envers les rapports de failles générés automatiquement par l'IA.

Une faille critique CVE-2026-51302 dans SQLite, notée 10/10, s'est avérée inexistante, signalée par erreur à travers des rapports et des validations basés sur des contenus générés par IA. L'alerte a été diffusée par le NIST, la CISA et le centre de cybersécurité néerlandais, mais aucune preuve cohérente n'a confirmé la vulnérabilité, révélant une absence de validation humaine. Après l'insistance de Richard Hipp, développeur de SQLite, le retrait officiel de la CVE a été obtenu, alimentant la méfiance envers les rapports de failles générés automatiquement par l'IA.

Recevez tous les soirs un résumé de l’actu importante avec Le Récap’ Une notification de sécurité informatique notée 10 sur 10 (le plus haut degré de gravité), reprise par le NIST, la CISA et le centre de cybersécurité néerlandais, décrivait une faille qui n’a jamais existé. Il aura fallu l’obstination du créateur de SQLite pour la faire retirer. Nous sommes le 27 juillet 2026 et un compte GitHub tout juste créé publie une série d’avis de vulnérabilité visant SQLite.

L’alerte fait rapidement le tour des hautes instances cyber : il s’agit ici du moteur de base de données embarqué le plus utilisé au monde. L’une des vulnérabilités référencées sous le code CVE-2026-51302 décrit une faille de type use-after-free jugée si sérieuse qu’elle décroche d’abord un score CVSS parfait de 10 sur 10. La NVD, base de données officielle du gouvernement américaine, la classe critique, le programme de la CISA, lagence de cybersécurité fédérale valide, puis le centre néerlandais de cybersécurité (NCSC) publie à son tour une alerte reprenant l’avis.

Problème, selon une analyse publiée par JFrog Security le 31 juillet, la fonction visée par la faille n’existe pas dans la version de SQLite mise en cause. CVSS 10.0, but the evidence doesn't add up.CVE-2026-51302 in SQLite claims critical impact, but:❌The supplied PoC does not reproduce❌The source code does not match the claimsAnd it's not an isolated case: JFrog found the same issues in 54 of 55 CVEs published by the same…— JFrog Security (@JFrogSecurity) July 29, 2026 Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.

Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus) En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et ses partenaires. Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

J’accepte tout Gérer mes choix De la bouillie générée par IA, et un système sans garde-fou Après ce premier signe d’alerte, les chercheurs ont donc entrepris de comparer tous les avis au code source réel de SQLite et de tester les preuves de concept fournies. Aucune ne fonctionne. Pire, selon les équipes de JFrog, les avis publiés présentent tous des marqueurs de contenu généré par IA.

Sur 55 avis analysés, 54 se révèlent entièrement fabriqués. La faute selon eux à la fin de la validation humaine et manuelle de chaque entrée avant publication : « Historiquement, le NIST faisait office de filet de sécurité fiable pour ce système : les experts de la National Vulnerability Database (NVD) analysaient, validaient et enrichissaient manuellement les CVE entrantes avant de leur donner leur approbation. Mais ce filet de sécurité a cédé en février 2024. » C’est à cette date que le NIST a reconnu ne plus arriver à traiter toutes les CVE qui lui sont soumises, faute de moyens suffisants.

Des réactions au retrait officiel Selon Richard Hipp, développeur historique de SQLite, le numéro CVE avait été attribué par une autorité de numérotation puis intégré par MITRE sans contrôle supplémentaire. Il aura fallu, de son propre aveu, une insistance particulière pour obtenir le retrait de CVE-2026-51302. Un épisode qui risque d’alimenter le ras-le-bol plus large face à l’afflux de rapports générés par des agents IA.

La fiche du NIST concernant cette faille imaginaire affiche désormais la mention suivante : « Cet enregistrement a été retiré par son CNA. Une enquête plus approfondie a démontré qu’il ne présentait aucun risque pour la sécurité. » Le NCSC néerlandais, qui avait relayé l’alerte, l’a lui aussi retirée, précisant que la CVE avait été hallucinée par un grand modèle de langage. JFrog dit avoir signalé ses conclusions à Red Hat et au NVD pour faire corriger les autres entrées douteuses, et recommande de ne jamais faire confiance à une CVE tout juste publiée sans en vérifier la source et tenter de la reproduire.

Votre VPN préféré n'est pas celui que vous croyez Meilleur VPN 2026 : le Comparatif complet de Numerama Retrouvez notre comparateur pour choisir le meilleur VPN Toute l'actu tech en un clin d'œil Ajoutez Numerama à votre écran d'accueil et restez connectés au futur ! Installer Numerama Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer ! Crédit photo de la une : montage Numerama Signaler une erreur dans le texte cybersécurité faille Github Ne plus voir cette pub Ne plus voir cette pub