Actualités · Cybersécurité

Failles logicielles : pourquoi les corriger rapidement et suivre les vulnérabilités en continu

Une vulnérabilité connue devient rapidement une porte d’entrée potentielle. Découvrez pourquoi les PME doivent identifier, prioriser et corriger leurs failles logicielles en continu à l’aide d’outils comme ESET PROTECT ou Microsoft Defender.

Publié le 31 août 20268 min de lecturePar SIP Informatique

https://dev.sipinformatique.ca/actualites/failles-logiciels-vulnerabilites-edr

Dans une entreprise, installer un antivirus et effectuer les mises à jour de Windows ne suffit plus à maintenir un environnement sécuritaire.

Chaque ordinateur contient des dizaines de logiciels : navigateurs, outils PDF, applications comptables, utilitaires de compression, logiciels de visioconférence, pilotes, applications métiers et composants installés parfois depuis plusieurs années.

Chacun de ces logiciels peut contenir une vulnérabilité.

Lorsqu’une faille est découverte et rendue publique, elle reçoit généralement un identifiant permettant de la suivre. Un correctif peut être publié rapidement, mais encore faut-il savoir quels appareils sont touchés, déterminer la priorité et vérifier que la mise à jour a réellement été installée.

La gestion des vulnérabilités ne consiste pas simplement à installer des mises à jour. Elle consiste à savoir ce qui est vulnérable, mesurer le risque, corriger et confirmer que le problème est réellement réglé.

Qu’est-ce qu’une vulnérabilité informatique?

Une vulnérabilité est une faiblesse dans un logiciel, un système d’exploitation ou une configuration qui peut être exploitée pour contourner certaines protections.

Selon la faille, un attaquant pourrait notamment :

• exécuter du code sur un ordinateur;
• obtenir des privilèges supplémentaires;
• voler des informations;
• contourner une authentification;
• provoquer l’arrêt d’un service;
• accéder à distance à un système;
• utiliser un appareil compromis pour progresser dans le réseau.

Les vulnérabilités publiquement documentées sont souvent associées à un identifiant CVE, pour *Common Vulnerabilities and Exposures*.

Toutes les vulnérabilités ne présentent toutefois pas le même niveau de risque.

Une faille critique exploitée activement sur un serveur accessible depuis Internet devrait généralement être traitée beaucoup plus rapidement qu’une vulnérabilité difficilement exploitable présente sur un poste isolé.

Pourquoi attendre augmente le risque

Lorsqu’un éditeur publie un correctif, il révèle souvent en même temps suffisamment d’informations pour attirer l’attention des chercheurs en sécurité… mais également celle des attaquants.

Des outils automatisés peuvent ensuite rechercher les appareils qui utilisent encore une version vulnérable.

Cela signifie qu’une faille qui semblait théorique peut progressivement devenir beaucoup plus dangereuse.

Le problème est particulièrement important avec les vulnérabilités qui sont déjà exploitées activement.

L’agence américaine CISA maintient d’ailleurs un catalogue de vulnérabilités connues comme étant exploitées dans des attaques réelles afin d’aider les organisations à prioriser les corrections. Ces vulnérabilités méritent généralement une attention particulière.

Le défi : connaître réellement son environnement

Une PME peut facilement penser que ses appareils sont à jour simplement parce que Windows Update fonctionne.

Mais les vulnérabilités peuvent provenir de nombreuses autres applications.

Par exemple :

• navigateur Internet;
• Adobe Acrobat ou autres lecteurs PDF;
• Java;
• 7-Zip ou WinRAR;
• outils de collaboration;
• logiciels VPN;
• applications de gestion;
• composants installés avec d’autres logiciels;
• pilotes;
• systèmes d’exploitation;
• logiciels présents mais rarement utilisés.

Sans inventaire centralisé, il devient très difficile de répondre à une question pourtant simple :

Combien de nos appareils sont actuellement touchés par cette vulnérabilité?

Identifier ne suffit pas : il faut prioriser

Une bonne plateforme de gestion des vulnérabilités ne devrait pas simplement produire une liste de milliers de CVE.

Une liste trop longue devient rapidement inutilisable.

L’objectif est plutôt de déterminer ce qui représente réellement le plus grand risque pour l’organisation.

Plusieurs éléments peuvent être considérés :

• gravité de la vulnérabilité;
• disponibilité d’un exploit;
• exploitation connue dans des attaques;
• nombre d’appareils concernés;
• importance des appareils touchés;
• exposition de l’appareil à Internet;
• droits associés aux utilisateurs;
• présence de données sensibles;
• disponibilité d’un correctif;
• mesures de protection déjà présentes.

Microsoft Defender Vulnerability Management, par exemple, utilise notamment le renseignement sur les menaces, le contexte des appareils et différents facteurs de risque afin de prioriser les vulnérabilités les plus importantes.

Corriger rapidement, mais intelligemment

Installer tous les correctifs immédiatement sans aucune validation peut aussi créer des problèmes.

Certaines mises à jour peuvent être incompatibles avec une application métier ou modifier le comportement d'un poste important.

Une bonne stratégie devrait donc combiner rapidité et contrôle.

Pour les correctifs critiques, une approche typique pourrait être :

1. Identifier les appareils touchés

Déterminer exactement quels postes, serveurs ou logiciels utilisent la version vulnérable.

2. Évaluer le niveau de risque

Vérifier si la vulnérabilité est critique, exploitable à distance ou déjà utilisée dans des attaques.

3. Tester le correctif

Lorsque possible, appliquer la mise à jour à un petit groupe représentatif avant un déploiement général.

4. Déployer progressivement

Installer le correctif sur l’ensemble des appareils concernés selon la priorité.

5. Vérifier le résultat

Confirmer que les appareils ne sont plus détectés comme vulnérables.

Cette dernière étape est importante.

Une politique de mise à jour peut exister sans que tous les appareils aient réellement reçu le correctif.

Le rôle d’une plateforme comme ESET PROTECT

ESET propose une fonction de Vulnerability & Patch Management directement intégrée à ESET PROTECT pour certaines offres.

Elle permet notamment d’identifier les vulnérabilités présentes sur les appareils gérés et d’automatiser l’installation de correctifs pour certaines applications et pour Windows.

ESET recommande notamment de tester les stratégies de correction sur un petit nombre de postes avant d’effectuer des déploiements à grande échelle.

Selon l’offre ESET utilisée, cette fonction peut permettre :

• d’obtenir une vue centralisée des vulnérabilités;
• d’identifier les logiciels concernés;
• de prioriser les correctifs;
• de mettre à jour automatiquement certaines applications;
• de gérer les mises à jour du système d’exploitation;
• de suivre l’état des appareils après correction.

Les fonctions de gestion des vulnérabilités et des correctifs sont notamment incluses dans certaines offres comme ESET PROTECT Complete, Elite et MDR.

Microsoft Defender peut également centraliser ce suivi

Dans l’écosystème Microsoft, Microsoft Defender Vulnerability Management peut continuellement détecter les logiciels vulnérables et fournir des recommandations de sécurité.

La plateforme permet notamment de suivre :

• les logiciels vulnérables;
• les appareils exposés;
• les recommandations prioritaires;
• les vulnérabilités connues;
• les activités de correction;
• les exceptions;
• l’évolution de l’exposition de l’organisation.

Microsoft permet également de créer des demandes de correction et, dans certains scénarios, de transmettre ces tâches à Microsoft Intune afin que l’équipe responsable des appareils puisse effectuer et suivre la correction.

L’importance du suivi après la correction

Un problème fréquent en informatique consiste à considérer une vulnérabilité comme réglée dès qu’une mise à jour a été approuvée.

Pourtant, certains appareils peuvent être :

• éteints pendant le déploiement;
• rarement connectés au réseau;
• en erreur;
• trop anciens pour recevoir la mise à jour;
• bloqués sur une ancienne version;
• exclus d’une politique;
• utilisés avec une application incompatible.

Un bon outil doit donc permettre de revenir quelques heures ou quelques jours plus tard et répondre précisément :

Quels appareils sont toujours vulnérables?

Microsoft Defender permet par exemple de créer et suivre des activités de correction jusqu’à leur résolution. :contentReference[oaicite:6]{index=6}

C’est cette boucle de vérification qui transforme une simple politique de mises à jour en véritable processus de sécurité.

Établir des délais de correction

Toutes les organisations devraient définir des objectifs de correction.

Les délais exacts doivent être adaptés à la réalité de l’entreprise, mais une politique pourrait par exemple prévoir :

Ces délais ne constituent pas une règle universelle.

Une vulnérabilité critique sur un serveur exposé pourrait exiger une intervention immédiate, tandis qu’un correctif présentant un risque important pour une application essentielle pourrait nécessiter des mesures compensatoires jusqu’à ce qu’un déploiement sécuritaire soit possible.

Que faire lorsqu’aucun correctif n’existe?

Certaines vulnérabilités dites zero-day sont découvertes avant qu’un correctif officiel soit disponible.

Dans ce cas, il peut être nécessaire d’appliquer temporairement d’autres mesures :

• désactiver une fonction vulnérable;
• limiter l’accès réseau;
• bloquer une application;
• renforcer une règle de pare-feu;
• isoler certains appareils;
• déployer une règle EDR;
• augmenter la surveillance;
• appliquer les recommandations temporaires de l’éditeur.

Microsoft Defender Vulnerability Management permet notamment d’identifier et de suivre certaines vulnérabilités zero-day et leurs mesures de réduction du risque.

Les logiciels en fin de vie représentent un risque différent

Il arrive qu’un logiciel vulnérable ne dispose simplement plus de correctifs parce que son éditeur a cessé de le soutenir.

Dans ce cas, le problème ne peut pas être réglé avec une simple mise à jour.

L’organisation doit alors envisager :

• une mise à niveau;
• le remplacement de l’application;
• la migration vers une autre solution;
• l’isolation du système;
• des restrictions supplémentaires;
• éventuellement le remplacement complet de l’appareil.

Une bonne gestion des vulnérabilités permet donc également d’identifier progressivement les technologies qui deviennent une dette de sécurité.

Un processus continu plutôt qu’un projet annuel

La gestion des vulnérabilités ne devrait pas être une vérification réalisée une fois par année.

De nouvelles failles sont publiées constamment, de nouvelles applications sont installées et les employés changent d’appareil.

Le processus doit donc être continu :

Détecter → Prioriser → Corriger → Vérifier → Recommencer

Cette approche permet de réduire progressivement la surface d’attaque de l’entreprise au lieu d’attendre qu’un audit ou un incident révèle les problèmes accumulés.

Comment SIP Informatique peut vous accompagner

SIP Informatique peut intégrer la gestion des vulnérabilités au suivi régulier de votre environnement informatique.

Selon les technologies déjà utilisées dans votre organisation, nous pouvons notamment :

• inventorier les logiciels installés;
• identifier les vulnérabilités présentes;
• évaluer les appareils les plus exposés;
• prioriser les corrections;
• configurer des politiques de mises à jour;
• utiliser des outils comme ESET PROTECT ou Microsoft Defender;
• vérifier l’application des correctifs;
• documenter les exceptions;
• suivre les systèmes qui demeurent vulnérables;
• planifier le remplacement des logiciels ou appareils en fin de vie.

L’objectif n’est pas de viser un environnement où aucune vulnérabilité n’existe jamais — ce qui serait irréaliste.

L’objectif est plutôt de savoir rapidement où se trouvent les risques, lesquels méritent une intervention immédiate et si les correctifs ont réellement été appliqués.

Dans un contexte où les attaques automatisées peuvent exploiter rapidement une faiblesse connue, cette visibilité peut faire une différence importante entre une vulnérabilité corrigée à temps et un incident qui aurait pu être évité.