Résumé

  • Woodman prévoit plus de 500 CVE en 2026 pour l’écosystème Erlang, Elixir et Gleam, contre environ dix l’année précédente; la page RIPE 93 indique une hausse supérieure à 50 fois.
  • Le travail difficile commence après la découverte: trier les signalements, convaincre un mainteneur, vérifier puis publier un correctif. Woodman teste le traitement par lots et demande aux entreprises utilisatrices de contribuer au financement.

Un signalement de faille peut arriver en quelques secondes. Le correctif, lui, dépend d’un mainteneur qui doit arrêter son travail, reproduire le problème, modifier le code, tester le résultat et publier une version. À RIPE 93, Woodman a décrit ce décalage comme le cœur du travail du CNA de l’Erlang Ecosystem Foundation.

Il a comparé environ dix CVE l’an dernier à une projection de plus de 500 pour 2026. La page de la conférence parle d’une hausse de plus de 50 fois. Woodman attribue cette poussée à des failles déjà présentes que les nouveaux outils rendent enfin visibles. Ce nombre compte les dossiers CVE, pas les correctifs publiés ni les paquets distincts touchés.

Cinq personnes portent les fonctions principales du CNA, selon Woodman. Il a dit que quatre autres membres de l’équipe étaient issus de la communauté et estimé à environ quinze le nombre de personnes d’Ericsson qui maintiennent activement le cœur de la machine virtuelle. Deux personnes réalisent la majeure partie du travail de CVE et de recherche assistée par IA. Les rôles se touchent, mais ne se remplacent pas: le CNA coordonne, le mainteneur modifie le paquet.

Pour éviter de couper sans cesse la journée des mainteneurs, l’équipe teste une autre cadence: réserver une plage à un projet et lui transmettre plusieurs signalements ensemble. Woodman a présenté cette méthode comme une expérimentation. Il n’a pas montré de données prouvant qu’elle raccourcit le délai avant correctif.

La politique publique de l’EEF fixe un objectif de deux jours ouvrés pour accuser réception et évaluer un signalement. Les vulnérabilités déjà publiques doivent être publiées sous 24 heures ou moins. Il faut donc financer une chaîne de travail, pas seulement un outil de détection. Woodman estime l’écosystème à environ 20 000 paquets, 100 000 utilisateurs réguliers et au moins 5 000 entreprises connues. Il a demandé aux entreprises utilisatrices absentes de la liste des sponsors de participer. La page de coordination de l’EEF propose des dons ou des coordinateurs bénévoles.

Sources