Le Patch Tuesday de juillet 2026 restera dans les annales : 622 vulnérabilités corrigées par Microsoft en une seule livraison mensuelle. Un mois plus tôt, juin avait déjà battu le record avec 206. Juillet a triplé ce chiffre.

L’essentiel

  • Le problème n’est pas le volume de failles, mais l’effondrement de la fenêtre de réaction.
  • Une petite minorité de vulnérabilités est réellement exploitée : ce sont celles qui comptent.
  • Entre un correctif publié et son exploitation de masse, il s’écoule parfois moins de 72 heures.
  • Un cycle de mise à jour trimestriel laisse mathématiquement des semaines d’exposition.

Que s’est-il passé en juillet 2026 ?

Microsoft a corrigé 622 vulnérabilités en une livraison, dont 59 critiques et trois failles rendues publiques avant la disponibilité des correctifs. Deux d’entre elles étaient activement exploitées, notamment une élévation de privilèges dans SharePoint Server aussitôt ajoutée au catalogue des vulnérabilités exploitées de la CISA.

Ce n’est pas une anomalie statistique, c’est une tendance de fond. La découverte de vulnérabilités s’industrialise, notamment sous l’effet des outils d’analyse assistés par intelligence artificielle, utilisés autant par les chercheurs que par les attaquants.

Et pendant que Microsoft publiait ses 622 correctifs, le reste du mois suivait le même rythme : la faille critique wp2shell dans WordPress le 17 juillet, exploitée en masse en 72 heures, des failles Fortinet et Arista ajoutées au catalogue KEV le 27 juillet, un mot de passe codé en dur dans Cisco Secure Firewall Management Center le 29 juillet, puis la faille N-able N-central le 3 août.

Pour un dirigeant, la conclusion s’impose d’elle-même : l’approche artisanale de la mise à jour, « on patche quand on a le temps », est devenue mathématiquement indéfendable.

Le problème est-il vraiment le volume ?

Non, et c’est la méprise la plus coûteuse. Personne, pas même les grandes entreprises, ne corrige 622 failles en une semaine. Le vrai enjeu se situe dans deux chiffres : la fraction réellement dangereuse, et la vitesse à laquelle elle devient exploitable.

1. La fraction réellement dangereuse. Sur des centaines de vulnérabilités publiées chaque mois, seule une petite minorité sera un jour exploitée. Le catalogue KEV de la CISA, qui recense celles dont l’exploitation active est confirmée, en contient quelques centaines au total, contre plus de 40 000 publiées annuellement. Le travail utile n’est donc pas de tout corriger, mais d’identifier et de traiter vite ce qui compte.

2. La vitesse d’exploitation. C’est ici que la situation s’est dégradée. L’épisode wp2shell l’a démontré : moins de 72 heures entre la publication du correctif et l’exploitation de masse, code d’attaque public compris. Pour la faille N-central, la CISA a réduit son délai de remédiation imposé aux agences fédérales à trois jours, ce qui est un signal clair sur le tempo attendu.

Une organisation qui applique ses mises à jour trimestriellement s’expose donc, en moyenne, plusieurs semaines par faille critique. Multipliez par le nombre de failles critiques par année, et vous obtenez une exposition quasi permanente.

La question stratégique n’est donc pas « avons-nous appliqué toutes les mises à jour ? » mais « combien de temps une faille activement exploitée reste-t-elle ouverte chez nous, et le savons-nous ? ».

Que veut dire « gérer les vulnérabilités », concrètement ?

Un cycle continu en cinq étapes, et non l’activation des mises à jour automatiques. Inventorier ce qu’on possède, détecter, prioriser par le risque réel plutôt que par le score, remédier dans des délais définis, puis vérifier et rendre compte.

1. Inventorier. On ne protège pas ce qu’on ignore posséder. Postes et serveurs, bien sûr, mais aussi équipements réseau, sites web et applications, services infonuagiques, imprimantes connectées, environnements de test oubliés. La découverte d’actifs inconnus est le premier résultat de tout exercice sérieux, et souvent le plus inconfortable.

2. Détecter. Balayages réguliers, au minimum mensuels et idéalement continus, sur le périmètre exposé à Internet et sur le réseau interne, complétés par une veille sur les avis touchant vos technologies.

3. Prioriser par le risque, pas par le score. C’est l’étape qui sépare les programmes efficaces des programmes cosmétiques. Trois critères se combinent : la faille est-elle activement exploitée, l’actif est-il exposé à Internet, l’actif est-il critique pour l’entreprise. Une faille moyenne sur votre accès distant exposé prime sur une faille critique sur un poste isolé.

4. Remédier avec des délais définis. Des cibles réalistes pour une PME : failles activement exploitées sur des actifs exposés, 72 heures; critiques, 7 à 14 jours; importantes, 30 jours. L’essentiel n’est pas la perfection des chiffres mais leur existence : un délai défini se mesure, s’audite et se défend.

5. Vérifier et rendre compte. Confirmer que le correctif est réellement appliqué, les échecs silencieux étant fréquents, puis produire un indicateur simple pour la direction : nombre de failles critiques ouvertes, âge moyen, tendance.

Pourquoi est-ce devenu un enjeu de gouvernance ?

Parce que trois forces extérieures convergent pour en faire une exigence d’affaires mesurable : la réglementation, les assureurs et vos propres clients. Aucune des trois ne se satisfait d’une intention.

La réglementation. La Loi 25 impose des mesures de sécurité raisonnables proportionnées à la sensibilité des renseignements personnels. En cas d’incident, une faille connue, corrigeable depuis des mois et pourtant ouverte est exactement le genre de fait qui transforme une entreprise victime en entreprise négligente aux yeux de la Commission d’accès à l’information.

Les assureurs. Les questionnaires d’assurance cyber comportent désormais systématiquement des questions sur les délais d’application des correctifs et la gestion des systèmes en fin de vie. Une réponse inexacte peut compromettre la couverture au moment précis où vous en avez besoin.

Vos clients. Les grandes organisations québécoises répercutent leurs propres obligations sur leurs fournisseurs : questionnaires, exigences contractuelles, preuves d’audit. Une PME incapable de décrire son processus se ferme progressivement l’accès aux donneurs d’ordres. Le référentiel ISO 27001 en fait d’ailleurs un contrôle explicite, tout comme le cadre du NIST.

Quels sont les deux pièges à éviter ?

Croire que les mises à jour automatiques suffisent, et croire que le fournisseur informatique s’en occupe. Les deux sont des convictions confortables, et les deux laissent des angles morts précisément là où les attaquants regardent.

« Les mises à jour automatiques suffisent. » Elles couvrent une partie du parc, systèmes d’exploitation et navigateurs, mais laissent des angles morts majeurs : équipements réseau et accès distants, qui sont les vecteurs favoris des groupes de rançongiciels, applications métier, sites web, systèmes qui ne redémarrent jamais. Et elles échouent parfois sans bruit.

« Notre fournisseur s’en occupe. » Peut-être, mais avec quels engagements ? Si votre contrat d’infogérance ne précise ni les délais de correction, ni le périmètre couvert, ni les rapports fournis, vous n’avez pas un programme de gestion des vulnérabilités : vous avez une espérance. L’actualité récente autour des outils d’administration à distance rappelle en outre que le fournisseur lui-même fait partie de votre surface d’attaque.

Comment RISS structure-t-il un programme proportionné ?

En quatre volets, du relevé initial au tableau de bord de direction, sans la lourdeur d’un dispositif de grande entreprise. L’objectif est un processus documenté et défendable, pas un outil de plus.

Évaluation initiale de la surface d’attaque. Inventaire de vos actifs exposés à Internet et balayage complet interne et externe : l’état des lieux factuel, incluant les systèmes oubliés et les versions en fin de vie.

Mise en place du cycle. Priorisation fondée sur l’exploitation réelle et la criticité de vos actifs, définition de délais de remédiation réalistes, intégration avec votre équipe interne ou votre fournisseur, que nous aidons aussi à encadrer contractuellement.

Validation par test d’intrusion. Le balayage détecte, le test démontre. Nos tests, alignés sur les référentiels OWASP et NIST SP 800-115, valident si les failles résiduelles sont réellement exploitables dans votre contexte.

Reporting de direction. Un tableau de bord trimestriel en langage d’affaires : exposition actuelle, tendance, comparaison aux engagements. De quoi répondre en confiance à un assureur, un client ou un auditeur.

FAQ

Nous n’avons pas d’équipe pour suivre des balayages mensuels. Que faire ?

Commencer par le périmètre exposé à Internet, qui est à la fois le plus petit et le plus dangereux. Un balayage externe mensuel sur vos adresses publiques et vos sites web tient en une demi-journée d’analyse, et il couvre les vecteurs que les attaquants automatisés utilisent réellement. Le réseau interne peut attendre le trimestre suivant : l’essentiel est d’avoir un rythme tenu plutôt qu’un programme ambitieux abandonné.

Comment savoir quelles failles sont activement exploitées ?

Le catalogue des vulnérabilités activement exploitées de la CISA est la référence publique et gratuite. Il ne contient que les failles dont l’exploitation est confirmée, ce qui en fait le meilleur filtre disponible pour arbitrer une urgence. Le score EPSS, qui estime la probabilité d’exploitation, le complète utilement. Un score CVSS élevé seul ne dit rien de l’urgence réelle.

Faut-il corriger un système en fin de vie ou le remplacer ?

Si l’éditeur ne publie plus de correctifs, la question du correctif ne se pose plus : il faut soit remplacer, soit isoler. L’isolement est une réponse légitime et souvent la seule réaliste à court terme, notamment pour un équipement industriel ou une application métier sans successeur. Ce qui n’est pas défendable, c’est de laisser un système non maintenu accessible depuis Internet ou depuis le réseau bureautique général.

Sources