Les brèves
Jeudi 22 octobre 2026 Le média des dirigeants et dirigeantes de PME et d’ETI

Le Journal du DirigeantMieux décider · Mieux vivre · Prendre du recul

Gestion des correctifs logiciels : comment une PME doit trier ses mises à jour

La gestion des correctifs n'est plus une routine que l'on délègue sans y penser. En effet, en octobre 2026, Microsoft a publié en un mois plus de correctifs qu'une équipe informatique de deux personnes ne peut en tester en un trimestre. Voici donc comment trier, décider et le prouver, que vous ayez une petite DSI ou un prestataire.

Anita Guerrero

10 min de lecture

Technicien informatique d'une PME appliquant des mises à jour sur un serveur, étape clé de la gestion des correctifs
© Le Journal du Dirigeant

L’essentiel

  • Pourquoi l’explosion du nombre de failles rend la règle « tout mettre à jour » intenable et trompeuse.
  • Comment classer actifs et correctifs avec la matrice Exposition × Exploitation et ses quatre délais cibles.
  • Quelles clauses imposer à votre infogérant pour satisfaire l’assureur cyber et préparer NIS2.

Octobre 2026 : la gestion des correctifs change d’échelle

Le 13 octobre 2026, Microsoft a corrigé plus de 1 400 failles dans Windows et ses autres logiciels. Selon Krebs on Security, ce lot écrase le record de septembre, proche de 1 000 correctifs. Or ce record représentait déjà environ dix fois la charge mensuelle habituelle. Par ailleurs, les décomptes varient selon les médias : 1 411 failles pour BleepingComputer, 1 407 pour CSO Online. Ce dernier rappelle d’ailleurs que l’ancien record datait de 2020, avec 1 261 failles.

Dans ce lot, Dark Reading relève 80 failles critiques. Surtout, l’une d’elles est déjà exploitée par des attaquants : CVE-2026-96951. Elle contourne la protection « Mark of the Web » de Windows, ce marquage qui signale un fichier venu d’Internet. Son score de gravité est de 8,8 sur 10. C’est pourquoi la CISA, l’agence américaine de cybersécurité, impose aux administrations fédérales de la corriger avant le 16 octobre.

D’où vient cette accélération ? Dark Reading évoque une ère de « vulnapocalypse » portée par l’intelligence artificielle. De son côté, l’ANSSI observe des cycles de vulnérabilités de plus en plus courts, une tendance accentuée par l’IA. Autrement dit, la recherche automatisée produit plus de découvertes, plus vite. Pour la gestion des correctifs, rien n’indique que le mouvement ralentira.

Votre PME est directement concernée. En effet, selon le Panorama de la cybermenace de l’ANSSI publié en mars 2025, les failles des pare-feux et des VPN étaient à l’origine de plus de la moitié de ses opérations de cyberdéfense en 2024. En 2025, l’agence a recensé 1 366 incidents, un niveau stable. Elle a par ailleurs émis six alertes majeures visant Ivanti, Fortinet, Citrix et Microsoft SharePoint. Par exemple, dans un cas relayé par Digitemis, un attaquant a exploité une faille Fortinet connue depuis plusieurs mois.

Quatre chiffres clés : 1 411 failles corrigées, 80 critiques, délai d'exploitation de moins 7 jours, plus de 50 % des opérations ANSSI liées aux pare-feux et VPN.

Gestion des correctifs : « tout est à jour » ne veut rien dire

Quand un prestataire affirme que « tout est à jour », il parle souvent des postes Windows. En pratique, sa gestion des correctifs oublie le VPN, le pare-feu, le NAS, le logiciel de paie ou le poste qui pilote une machine d’atelier. Or ce sont précisément ces équipements que visent les attaquants.

Ensuite, l’exhaustivité prend du temps. Selon le rapport Verizon DBIR 2026, il faut en médiane 43 jours après leur détection pour corriger complètement les failles du catalogue KEV. Pourtant, ces failles sont déjà exploitées, et ce délai était de 32 jours l’année précédente. Seules 26 % d’entre elles ont été entièrement corrigées en 2025. Le même rapport fait par ailleurs de l’exploitation de failles le premier vecteur d’intrusion, avec 31 % des cas contre 20 % dans l’édition précédente.

En face, les attaquants vont vite. D’après le rapport M-Trends 2026 de Mandiant, le délai moyen d’exploitation d’une faille était de 63 jours en 2018. Il est estimé à moins 7 jours en 2025. Autrement dit, l’exploitation commence souvent avant la publication du correctif. Certes, d’autres études, comme celle de Flashpoint, donnent des délais bien plus longs : les méthodes diffèrent. Mais la leçon tient. Ainsi, vous ne gagnerez pas la course sur 1 400 failles. En revanche, vous pouvez la gagner sur la petite fraction réellement exploitée.

Enfin, un correctif appliqué sans test peut bloquer l’ERP ou un logiciel métier. À l’inverse, tout tester revient à tout retarder. L’exhaustivité donne donc un faux sentiment de sécurité.

À savoir — Une CVE est l’identifiant public d’une faille. Le score CVSS mesure sa gravité théorique, de 0 à 10, pas son exploitation réelle. Le catalogue KEV de la CISA recense les failles effectivement exploitées. En France, le CERT-FR de l’ANSSI publie gratuitement avis et alertes. En pratique, ces deux dernières sources suffisent pour repérer l’urgence.

La matrice Exposition × Exploitation : une gestion des correctifs en quatre délais

L’outil que nous proposons pour la gestion des correctifs tient sur une page. Il croise ainsi deux questions simples : cet équipement est-il exposé ? Cette faille est-elle exploitée ? Concrètement, il se déploie en cinq étapes.

  • Classer les actifs en trois cercles. Cercle 1 : ce qui est exposé directement à Internet (VPN, pare-feu, serveurs publiés, accès distants). Cercle 2 : ce qui est exposé via les utilisateurs (postes, navigateurs, messagerie, bureautique). Cercle 3 : l’interne (serveurs non publiés, ERP sur site, NAS, postes d’atelier).
  • Qualifier chaque correctif en trois niveaux. Exploité activement : la faille figure au catalogue KEV ou fait l’objet d’une alerte du CERT-FR. Critique non exploité : gravité classée critique par l’éditeur. Autre : tout le reste.
  • Croiser et appliquer le délai cible indiqué dans le tableau ci-dessous.
  • Documenter les exceptions. Si un correctif casse l’ERP, une mesure compensatoire s’impose : isoler la machine, couper un accès, fixer une date limite. Le dirigeant signe l’exception.
  • Mesurer et rendre compte chaque mois au comité de direction, sur une page.
Niveau d’urgence Cercle 1 : exposé à Internet Cercle 2 : exposé via les utilisateurs Cercle 3 : interne
Exploitée activement 72 heures 72 heures 7 jours
Critique non exploitée 7 jours 7 jours 30 jours
Autre 30 jours 30 jours (déploiement mensuel) Cycle trimestriel

Qui décide quoi dans la gestion des correctifs ? Le prestataire ou la DSI exécute et propose. En revanche, le dirigeant valide les délais une fois par an et signe chaque exception. Ainsi, le risque accepté devient une décision de direction, et non un oubli technique.

Grille deux sur deux croisant exposition de l'actif et exploitation de la faille, avec des délais de 72 heures à un cycle trimestriel.

Cas d’école chiffré : Industrie Moreau face au Patch Tuesday d’octobre

Prenons Industrie Moreau, une ETI fictive de 180 salariés, sous-traitante en mécanique, avec 28 M€ de chiffre d’affaires. Son parc compte 210 postes Windows, 35 serveurs, un VPN, la messagerie Microsoft 365 et un ERP installé sur site. L’équipe informatique se résume à deux personnes, épaulées par un infogérant payé 4 000 € par mois.

Premier scénario : le mode exhaustif. Appliquer et tester tous les correctifs d’octobre représenterait environ 120 heures-homme. Autrement dit, pour deux personnes qui gèrent aussi les demandes courantes, cela signifie trois semaines de retard sur le reste. Pendant ce temps, la faille déjà exploitée reste ouverte sur une partie des postes.

Second scénario : la matrice. D’abord, la priorité absolue concerne une quinzaine de correctifs : la faille Windows exploitée sur les 210 postes, puis les correctifs urgents du VPN et des serveurs exposés. Ce lot demande environ 20 heures et se boucle en 72 heures. Ensuite, les failles critiques des cercles 1 et 2 sont traitées sous 7 jours. Enfin, le reste suit le déploiement automatisé mensuel, et l’ERP passe après test, sous 30 jours. Par ailleurs, Microsoft 365 étant un service en ligne, l’éditeur corrige lui-même ses serveurs. La gestion des correctifs porte donc sur les applications installées et la configuration.

Le surcoût de pilotage est estimé à 6 000 € par an, soit une demi-journée mensuelle de l’infogérant pour le tri et le rapport. Mettons-le toutefois face au risque. Avec 28 M€ de chiffre d’affaires, un jour ouvré représente environ 112 000 € de production. Par exemple, dix jours d’arrêt après un rançongiciel feraient perdre une part de marge, puis s’ajouteraient restauration, experts et pénalités clients. Selon l’estimation de la rédaction, la facture atteindrait de l’ordre de 800 000 à 1,2 M€. À titre de repère, le baromètre de Cybermalveillance.gouv.fr situe le coût médian d’une attaque ciblée d’intensité moyenne entre 50 000 et 150 000 €. Même dans ce bas de fourchette, le pilotage de la gestion des correctifs est donc rentabilisé plusieurs années d’avance.

Le tableau de bord d’une page

  • Part des failles exploitées corrigées sous 72 heures sur les cercles 1 et 2.
  • Nombre d’exceptions ouvertes, avec leur date limite et leur signataire.
  • Couverture de l’inventaire : part des actifs connus et classés.
  • Âge du plus ancien correctif critique en attente.
  • Alertes du CERT-FR reçues dans le mois et suite donnée.
Cinq étapes : classer les actifs, qualifier les correctifs, appliquer les délais, documenter les exceptions, rendre compte.

Contrat, assurance, NIS2 : prouver votre gestion des correctifs

Les assureurs regardent désormais la gestion des correctifs de près. En effet, l’étude LUCY 2026 de l’AMRAE, publiée le 9 juillet 2026, porte sur 20 996 polices et 1 251 sinistres de l’année 2025. Les montants indemnisés y atteignent 83,2 M€, contre 54,5 M€ un an plus tôt. Les assureurs vérifient donc un délai d’application des correctifs critiques et la preuve qu’il est tenu. Dans son contrat Groupama Cyber Up, Groupama demande par exemple d’appliquer les correctifs de sécurité dans les trente jours suivant leur publication. Selon des spécialistes du secteur, d’autres polices exigent 14 à 30 jours pour les failles les plus graves. Ainsi, un délai déclaré mais non tenu fragilise votre position en cas de sinistre.

Côté réglementation, la loi Résilience qui transpose NIS2 n’est toujours pas adoptée. Au 6 octobre 2026, le Sénat l’avait votée, mais pas l’Assemblée nationale, qui l’a retirée de son ordre du jour du 7 octobre. En juillet 2026, la Commission européenne a d’ailleurs renvoyé la France devant la Cour de justice de l’Union. Le texte visera environ 15 000 entités. Parmi elles, les entités importantes : plus de 50 salariés ou plus de 10 M€ de chiffre d’affaires ou de bilan, dans des secteurs comme la fabrication. Industrie Moreau serait vraisemblablement concernée. L’ANSSI a publié le 17 mars 2026 un document de travail, le référentiel ReCyF. Toutefois, les textes connus ne fixent pas de délai chiffré : il faudra donc démontrer une gestion des correctifs maîtrisée.

En pratique, la preuve de votre gestion des correctifs se construit dans le contrat d’infogérance. Voici les huit clauses à exiger :

  • Un inventaire à jour de tous les actifs, classés par cercle.
  • Les quatre délais cibles, écrits noir sur blanc.
  • Une procédure de test avant déploiement sur les applications métiers.
  • Un plan de retour arrière pour chaque correctif sensible.
  • Des exceptions documentées, datées et signées par la direction.
  • Une preuve d’application exportée de l’outil de déploiement.
  • Un rapport mensuel d’une page, selon le modèle ci-dessus.
  • Une astreinte capable de traiter une alerte du CERT-FR sous 72 heures.

Les pièges qui ruinent un bon tri

Premier piège : confondre gravité et urgence. Par exemple, un score CVSS de 9,8 sur un serveur isolé pèse moins qu’une faille notée 8,8 mais exploitée sur 210 postes. Deuxième piège : oublier les logiciels tiers et les équipements réseau, absents des mises à jour Windows. Troisième piège : accepter des exceptions sans date de fin, qui deviennent des failles permanentes. Quatrième piège : croire le déploiement automatique sans en exiger la preuve, car certains postes éteints ou nomades n’en reçoivent jamais. Enfin, laisser le prestataire noter sa propre copie : faites relire le rapport, une fois par an, par un tiers ou par votre commissaire aux comptes lors de sa revue des contrôles informatiques.

Ce qu’il faut retenir

  • Vérifiez dès lundi que les failles exploitées d’octobre sont corrigées sur les équipements exposés à Internet et sur les postes.
  • Demandez à votre prestataire l’inventaire complet de vos actifs, classés selon les trois cercles d’exposition.
  • Fixez par écrit les quatre délais cibles et signez vous-même chaque exception.
  • Abonnez votre équipe aux alertes du CERT-FR et au catalogue KEV de la CISA.
  • Exigez chaque mois un tableau de bord d’une page et transmettez-le à votre assureur à la souscription.

Questions fréquentes

Faut-il désactiver les mises à jour automatiques pour mieux contrôler ?

Non, pour les postes de travail, le déploiement automatique reste le meilleur allié. Le tri sert surtout à accélérer les correctifs urgents et à encadrer ceux des serveurs et logiciels métiers. Gardez l’automatique, mais exigez la preuve qu’il a bien atteint tous les postes, y compris nomades.

Mon infogérant facture-t-il déjà ce travail ?

Souvent, le contrat prévoit l’application des correctifs mais pas leur tri ni le reporting. Relisez la description de service : si les délais, les exceptions et la preuve d’application n’y figurent pas, vous ne pouvez rien exiger. Un avenant de quelques lignes suffit généralement.

Comment savoir si une faille est réellement exploitée ?

Deux sources gratuites suffisent : le catalogue KEV de la CISA et les alertes du CERT-FR, publiées par l’ANSSI. Un abonnement par courriel permet à votre équipe d’être prévenue le jour même. Les éditeurs signalent aussi les failles exploitées dans leurs bulletins mensuels.

Que répondre à l’assureur qui demande notre délai de correction ?

Donnez des délais que vous tenez réellement, par niveau d’urgence, plutôt qu’un engagement global flatteur. Joignez si possible un rapport mensuel récent. En cas de sinistre, l’écart entre le déclaré et le réalisé sera examiné.

Sources

À lire aussi

Gouvernance →