if ( !emtpy($headline_subheadline ) ) : ?>
Une analyse de près de 383 000 CVE révèle que les attaquants se concentrent sur un ensemble restreint de failles à fort impact, et que les systèmes qu’ils apprécient le plus sont les plus lents à être corrigés.
endif; ?>
La vulnérabilité médiane des appareils de réseau d’entreprise reste non corrigée depuis plus d’un an, selon les propres données de télémétrie de Microsoft, même si les failles logicielles les plus dommageables sont utilisées comme arme quelques jours après leur divulgation.
Microsoft Security Research a rapporté les résultats lundi dans une analyse d’environ 383 000 CVE divulgués entre 1999 et septembre 2026. Cela montre que le délai médian pour corriger une vulnérabilité dépasse un an pour les appareils réseau. Le délai est de plus d’un mois pour les serveurs Windows, de plus de 10 semaines pour les serveurs et applications Linux fonctionnant sous macOS, et d’environ deux semaines pour les postes de travail Windows.
« Cet écart constitue la fenêtre de l’acteur malveillant, la plus large sur les systèmes critiques qui restent exposés le plus longtemps », ont écrit les chercheurs en sécurité de Microsoft, Yair Tsarfaty et Or Begam, dans un article de blog détaillant les résultats. Ils faisaient référence à la distance entre la rapidité avec laquelle les failles sont exploitées et la lenteur avec laquelle les systèmes critiques sont corrigés.
Patching mesuré en semaines et en mois
Microsoft a tiré ses chiffres de correctifs à partir des données de 2026 dans son produit Security Exposure Management. La vulnérabilité médiane est corrigée en environ deux semaines sur les postes de travail Windows, mais prend plus d’un mois sur Windows Server, selon le message. Le délai s’étend au-delà de 10 semaines sur les serveurs Linux et pour les applications fonctionnant sous macOS, et au-delà d’un an sur les appareils réseau.
Vibhum Dubey, chercheur en cybersécurité et membre de l’équipe rouge, a déclaré que les résultats reflètent ce qu’il voit dans les environnements d’entreprise. Dans ces environnements, les approbations de modifications, les dépendances des applications, les fenêtres de maintenance et l’infrastructure existante bloquent régulièrement les correctifs.
« Les appareils réseau sont particulièrement difficiles à gérer car les mises à niveau du micrologiciel peuvent affecter les opérations commerciales critiques », a déclaré Dubey. « Dans de nombreux cas, le défi n’est pas d’identifier les vulnérabilités, mais de recruter les bonnes équipes pour y remédier sans perturber les services de l’entreprise. »
Exploitation mesurée en jours
L’exploitation s’effectue sur une horloge beaucoup plus courte, a écrit Microsoft dans le message. Citant les chiffres du CISA, les chercheurs ont déclaré que le délai moyen entre la publication du CVE et l’inscription dans le catalogue des vulnérabilités exploitées connues du CISA est passé de 89 jours en 2024 à 57 jours en 2025. Pour 2026 jusqu’en septembre, la moyenne est tombée à 20 jours et la médiane à trois.
« L’exploitation se déroule à l’inverse : les vulnérabilités les plus impactantes sont militarisées en quelques jours, de plus en plus au moment ou avant leur divulgation », indique le message.
Les chercheurs ont également cité le rapport State of Exploitation 2026 de VulnCheck, qui révèle que 29 % des exploits en 2025 ont été lancés dans la journée suivant la publication du CVE. Les recherches de l’industrie soulignent que les progrès de l’IA sont un facteur important dans la réduction du temps nécessaire au développement des exploits, a écrit Microsoft dans le billet de blog.
Dans certains cas, les défenseurs disposent de plusieurs heures plutôt que de quelques semaines, a expliqué Dubey. Les vulnérabilités peuvent être exploitées avant leur divulgation publique ou avant que les organisations n’aient terminé leur évaluation initiale.
Il a déclaré que les entreprises doivent cesser de s’appuyer entièrement sur des analyses mensuelles et des cycles de correctifs planifiés. À leur place, a-t-il déclaré, ils ont besoin d’une surveillance continue, de procédures de correctifs d’urgence, de correctifs virtuels via les contrôles WAF et IPS, et d’une propriété claire des mesures correctives.
« La priorité devrait être de réduire la fenêtre d’exposition, car au moment où une vulnérabilité atteint la file d’attente habituelle des correctifs, les attaquants peuvent déjà l’exploiter », a déclaré Dubey.
Là où atterrissent les exploits
Selon l’analyse, les vulnérabilités réellement utilisées par les attaquants sont très différentes de celles de la population CVE dans son ensemble. Les failles d’exécution de code à distance (RCE) côté serveur représentent 20 % de tous les CVE publiés, mais 37 % de celles exploitées dans la nature. L’augmentation des privilèges locaux passe de 11 % à 18 % et le RCE côté client de 4 % à 13 %.
Les scripts intersites chutent de 15 % des CVE publiés à 4 % des ceux exploités, et les failles de déni de service chutent de 16 % à 7 %, selon les chercheurs. Les vulnérabilités des systèmes d’exploitation représentent 23 % de la population globale mais représentent 41 % des CVE exploités.
« Ces tendances sont cohérentes avec le fait que les acteurs de la menace privilégient les vulnérabilités qui peuvent fournir un accès et un contrôle significatifs », ont écrit les chercheurs.
Ensemble, le RCE, le contournement d’authentification et l’élévation de privilèges locaux représentent 78 % des vulnérabilités exploitées dans le monde réel, indique le message. Windows se classe comme la plate-forme la plus touchée parmi les CVE exploités dans les données de Microsoft.
Priorisation par exposition
La valeur d’une vulnérabilité pour un attaquant dépend de son impact et de son exposition, selon Microsoft. L’impact est ce qu’apporte une exploitation réussie. L’exposition correspond aux identités, aux privilèges et aux connexions réseau accessibles à partir de l’actif compromis.
Les serveurs exécutent fréquemment des comptes de service, des identités d’application ou des identités gérées dans le cloud avec plus d’autorisations que nécessaire, indique le message. Prendre le contrôle de l’un d’eux peut ouvrir la voie à des données sensibles, à des droits administratifs et à des réseaux de confiance.
« Les scores CVSS à eux seuls ne suffisent plus », a déclaré Dubey. Les organisations doivent donner la priorité aux vulnérabilités en fonction de leur exploitation active, de leur exposition à Internet, de la criticité de leurs actifs et des chemins d’attaque potentiels, a-t-il déclaré. « Une vulnérabilité de gravité moyenne sur un système connecté à Internet avec un exploit connu peut présenter un risque plus élevé qu’une vulnérabilité critique sur un actif isolé », a-t-il déclaré.
