Bonnes pratiques en matière de gestion des correctifs : comment mettre en place un programme qui fonctionne vraiment

Selon le rapport « State of the MSP » 2026 de Kaseya, 69 % des MSP proposent la gestion des correctifs et des mises à jour en tant que service, ce qui en fait l’une des fonctionnalités les plus couramment proposées dans le cadre de l’ managed services , et l’une des plus importantes pour assurer la sécurité des environnements des clients.

La gestion des correctifs désigne le processus consistant à identifier, acquérir, tester et appliquer les mises à jour logicielles au sein de l'environnement informatique d'une organisation. Ces mises à jour, publiées par les éditeurs de logiciels pour corriger les failles de sécurité, remédier aux bogues fonctionnels et améliorer la stabilité, constituent le principal mécanisme permettant de réduire la surface d'attaque connue. En l'absence d'un programme cohérent de gestion des correctifs, les vulnérabilités s'accumulent plus vite qu'elles ne sont corrigées.

La plupart des équipes informatiques appliquent des correctifs. Mais rares sont celles qui le font de manière suffisamment régulière, rapide et exhaustive pour combler les failles que les pirates exploitent réellement. C'est précisément dans cet écart entre le simple fait de disposer d'un processus de gestion des correctifs et celui d'en avoir un qui soit efficace que se produisent la majorité des violations de sécurité qui auraient pu être évitées.

Les données sur ce point sont cohérentes d'une année à l'autre dans les enquêtes sur les violations de sécurité : les vulnérabilités non corrigées restent l'une des principales causes des cyberattaques réussies. Bon nombre des incidents les plus marquants liés aux ransomwares et aux fuites de données de ces dernières années ont exploité des vulnérabilités pour lesquelles des correctifs étaient disponibles depuis des mois. Le défi réside rarement dans la disponibilité des correctifs, mais plutôt dans la rapidité, la cohérence et l'exhaustivité avec lesquelles ils sont appliqués.

Ce guide explique comment mettre en place un programme de gestion des correctifs permettant de combler les lacunes de l'approche actuelle de la plupart des entreprises.

Automatiser l'application des correctifs sur tous les terminaux

Kaseya VSA offre une gestion des correctifs basée sur des règles pour Windows, macOS, Linux et plus de 300 applications tierces, avec des rapports de conformité, des workflows de validation et la prise en charge des appareils hors réseau.

Découvrez la gestion des correctifs VSA en action

Pourquoi la gestion des correctifs échoue dans la pratique

Les problèmes liés à l'application des correctifs ne sont presque jamais dus à une méconnaissance de l'importance de cette pratique. Ils sont plutôt liés à des frictions opérationnelles, à des lacunes dans la couverture et à des erreurs de hiérarchisation des priorités.

Les lacunes de couverture constituent le danger le plus grave. Un correctif qui couvre les mises à jour du système d’exploitation Windows mais néglige celles des navigateurs, des applications tierces et des micrologiciels laisse une surface d’attaque importante non protégée. L’exploitation en 2021 d’une vulnérabilité de Microsoft Office datant de quatre ans en est un exemple flagrant : un correctif disponible depuis 2017, appliqué par la plupart des organisations à leur système d’exploitation, mais qui n’avait pas été pris en compte dans la couverture des applications tierces.

On parle de « retard » lorsque le délai entre la publication d'un correctif et son application s'étend sur plusieurs semaines au lieu de quelques jours. Les pirates agissent rapidement dès qu'une vulnérabilité est rendue publique : des outils d'exploitation apparaissent en quelques heures, voire quelques jours, pour les vulnérabilités à haut niveau de gravité. Un cycle de correction de 30 jours, qui était considéré comme raisonnable il y a cinq ans, s'avère désormais insuffisant face au rythme actuel de développement des exploits.

Une hiérarchisation des priorités sans données conduit les équipes à appliquer les correctifs selon l'ordre de publication plutôt que selon le niveau de risque, ce qui les amène à corriger les problèmes de faible gravité sur des systèmes stables tandis que les vulnérabilités critiques affectant des ressources exposées à Internet restent en attente.

Les processus manuels, à grande échelle, ne peuvent tout simplement pas suivre le rythme. La gestion manuelle des correctifs sur des centaines, voire des milliers de terminaux est intrinsèquement source d'erreurs et soumise à des contraintes de capacité. À une échelle significative, l'automatisation n'est pas un simple atout supplémentaire. C'est la seule approche viable.

Ce que couvre un programme efficace de gestion des correctifs

Un programme complet couvre toutes les catégories de logiciels, et pas seulement les mises à jour du système d'exploitation.

Systèmes d'exploitation — Windows, macOS et Linux, y compris toutes les versions actives dans l'environnement, avec des cycles de mise à jour réguliers alignés sur les versions officielles.

Applications tierces: navigateurs (Chrome, Firefox, Edge), suites bureautiques (Microsoft 365, Adobe), outils de communication (Teams, Slack, Zoom) et toute autre application largement déployée. Les vulnérabilités des applications tierces figurent systématiquement parmi les plus exploitées, car elles bénéficient d’une visibilité moindre que les correctifs des systèmes d’exploitation, ce qui en fait des cibles de choix.

Les navigateurs, en particulier: les navigateurs constituent des cibles de premier ordre, car ils sont directement exposés à des contenus Internet non fiables. Les éditeurs de navigateurs publient fréquemment des correctifs de sécurité. Ceux-ci doivent être appliqués avec la même urgence que les correctifs du système d'exploitation.

Micrologiciels — Les micrologiciels matériels (BIOS/UEFI, micrologiciels des périphériques réseau, contrôleurs de stockage) sont souvent totalement exclus des programmes de correctifs. Les vulnérabilités des micrologiciels sont plus difficiles à exploiter, mais peuvent s'avérer très difficiles à détecter et à corriger une fois que le système a été compromis.

Appareils distants et hors réseau — Les appareils distants et ceux utilisés dans le cadre du télétravail doivent bénéficier de la même couverture en matière de correctifs que ceux situés au bureau. Une solution RMM dotée d’une fonctionnalité de déploiement de correctifs hors réseau, capable d’appliquer ces correctifs dès que les appareils se connectent à Internet, qu’ils soient ou non sur le réseau d’entreprise, est indispensable dans les environnements hybrides.

Infrastructure cloud — les instances et les conteneurs cloud nécessitent des correctifs avec la même urgence que les systèmes sur site, mais les processus sont souvent différents. La gestion des correctifs dans le cloud nécessite une définition claire des processus ; on ne peut pas partir du principe que le fournisseur de services cloud s’en charge.

Hiérarchisation des correctifs : comment déterminer ce qu'il faut corriger en priorité

Tous les correctifs ne présentent pas le même degré d'urgence. Lorsque les ressources sont limitées, la hiérarchisation doit se fonder sur le risque, et non sur la date de sortie.

Les cadres de hiérarchisation les plus fiables combinent deux dimensions : la gravité de la vulnérabilité (score CVSS, les niveaux « critique » et « élevé » étant prioritaires) et l’exploitabilité (existe-t-il un exploit connu dans la nature ? Est-il activement utilisé ?). Le catalogue des vulnérabilités connues pour être exploitées (KEV) de la CISA constitue la source publique la plus fiable pour cette dernière dimension. Il répertorie les vulnérabilités actuellement exploitées de manière active, qui doivent faire l’objet de correctifs d’urgence, quel que soit leur score CVSS.

La criticité des ressources ajoute une troisième dimension. Une vulnérabilité de gravité moyenne sur un serveur exposé à Internet ou un contrôleur de domaine est considérée comme plus prioritaire qu'une vulnérabilité de gravité élevée sur un poste de travail de développement isolé.

Un cadre pratique pour la hiérarchisation des priorités :

1. Incidents CISA KEV — application d'un correctif dans les 24 heures, quel que soit le score CVSS

2. Vulnérabilités critiques sur les systèmes connectés à Internet ou disposant de privilèges élevés — application des correctifs dans un délai de 24 à 72 heures

3. Vulnérabilités à haut niveau de gravité sur les terminaux standard — appliquer le correctif dans les 7 jours

4. Vulnérabilités de gravité moyenne — application du correctif dans un délai de 30 jours

5. Vulnérabilités de faible gravité — à intégrer dans les cycles de maintenance réguliers

L'automatisation : la seule solution pour appliquer des correctifs à grande échelle

La mise à jour manuelle des correctifs, quel que soit le nombre de terminaux concernés, n'est pas une approche viable à long terme. Le volume de correctifs publiés dans toutes les catégories de logiciels, la fréquence des mises à jour de sécurité critiques et le rythme de développement des exploits exigent tous un déploiement automatisé des correctifs, régi par des règles.

Une gestion automatisée et efficace des correctifs comprend :

Une analyse continue qui identifie les correctifs manquants sur l'ensemble des terminaux gérés, mise à jour en temps réel par rapport aux catalogues de correctifs des éditeurs.

Déploiement basé sur des règles qui applique automatiquement les correctifs approuvés selon des calendriers définis, des délais déterminés en fonction du niveau de gravité, des fenêtres de maintenance et des politiques de déploiement progressif visant à limiter l'ampleur des répercussions si un correctif entraîne des problèmes de compatibilité avec les applications.

Des processus de validation pour les correctifs nécessitant un examen, généralement les mises à niveau vers une version majeure ou les correctifs affectant des applications critiques, tout en permettant le déploiement automatique des correctifs de sécurité standard sans intervention manuelle à chaque étape.

Environnements de test pour les correctifs à haut risque, permettant de valider ces derniers sur un sous-ensemble représentatif de terminaux avant leur déploiement à grande échelle.

Des rapports de conformité présentant l'état des correctifs dans l'ensemble de l'environnement, classés par niveau de gravité, date d'installation et groupe d'actifs, offrant ainsi aux responsables une visibilité sur les risques actuels et fournissant des éléments probants pour répondre aux exigences d'audit et de conformité.

Kaseya VSA assure la gestion automatisée des correctifs sur les terminaux Windows, macOS et Linux, y compris les correctifs des applications tierces, grâce à des règles configurables concernant le calendrier de déploiement, les workflows de validation et les rapports de conformité. Les appareils hors réseau sont mis à jour dès qu’ils se connectent à Internet, qu’ils soient ou non sur le réseau de l’entreprise. Demandez une démonstration pour découvrir son fonctionnement.

Kaseya Intelligence: Exécution autonome des correctifs

L'automatisation gère la planification et le déploiement des correctifs. Ce qu'elle ne peut pas faire seule, c'est boucler la boucle : détecter la vulnérabilité, évaluer le risque qu'elle présente dans un environnement spécifique, appliquer le correctif, puis vérifier que celui-ci a bien été appliqué et qu'il n'a pas causé de dysfonctionnements en aval.

Kaseya Intelligence, le moteur d'IA qui alimente la plateforme Kaseya 365 , fait évoluer la gestion des correctifs d'une planification automatisée vers une exécution et une validation autonomes. Entraîné sur des données issues de 17 millions de terminaux gérés et de plus d'un milliard de tickets d'assistance réels, il tient compte de contextes que l'automatisation générique ne peut pas prendre en compte : quels sont les systèmes véritablement critiques, quels correctifs ont historiquement causé des problèmes de compatibilité dans des environnements similaires, et quelles vulnérabilités non corrigées représentent actuellement le risque réel le plus élevé.

Pour les prestataires de services de gestion (MSP) chargés de gérer l'application des correctifs sur des dizaines, voire des centaines d'environnements clients, c'est ce contexte qui fait la différence entre un programme de correctifs qui fonctionne et un autre capable d'évoluer sans entraîner d'augmentation proportionnelle du nombre de tickets de dépannage. Découvrez Kaseya Intelligence.

Gestion des correctifs pour les MSP : cohérence entre les environnements des clients

Pour les MSP, la gestion des correctifs remplit un double objectif : protéger les environnements des clients contre les vulnérabilités et démontrer cette protection grâce à des données de conformité documentées qui répondent aux exigences des clients en matière de rapports et d'audits.

La gestion des correctifs MSP nécessite :

Des politiques de base standardisées sont appliquées de manière cohérente dans tous les environnements clients, avec des adaptations spécifiques à chaque client lorsque les contraintes l'exigent (fenêtres de maintenance, applications critiques pour l'activité nécessitant des tests préalables à l'application des correctifs).

Rapports de conformité par client indiquant l'état des correctifs, les vulnérabilités non résolues et les mesures correctives pour chaque client pris individuellement.

Des calendriers de correctifs conformes au SLA, qui fixent des délais précis pour la mise en œuvre des mesures correctives et fournissent la preuve que ces délais sont respectés.

Procédures d'escalade à suivre lorsque l'approbation du client est requise avant l'application d'un correctif et que cette approbation est retardée, afin de garantir que les vulnérabilités en suspens ne soient pas négligées pendant l'attente de la validation du client.

Évaluation de la conformité aux correctifs

L'efficacité de la gestion des correctifs est mesurable, et il est utile de suivre ces indicateurs de manière régulière :

Délai moyen d'application des correctifs (MTTP) — durée moyenne entre la publication d'un correctif et son application, par catégorie de gravité. L'évolution du MTTP permet de déterminer si le programme s'améliore ou se détériore au fil du temps.

Taux de conformité des correctifs — pourcentage de correctifs applicables installés dans les délais définis par le SLA. Suivez cet indicateur par niveau de gravité et par groupe d'actifs afin d'identifier où se situent réellement les lacunes.

Durée d'existence des vulnérabilités critiques — durée pendant laquelle les vulnérabilités critiques restent sans correctif. Toute vulnérabilité critique datant de plus de 7 jours et ne faisant pas l'objet d'une procédure d'exception approuvée représente un risque qui doit être signalé à la hiérarchie.

Taux d'exception et ancienneté — les correctifs faisant l'objet d'une exception (retardés en raison de tests de compatibilité, de contraintes opérationnelles ou de processus d'approbation par le client) doivent faire l'objet d'un suivi à l'aide d'alertes d'ancienneté. Une exception ancienne correspond soit à un risque maîtrisé et documenté, soit à une lacune oubliée.

Points clés à retenir

• La gestion des correctifs désigne le processus consistant à identifier, acquérir, tester et appliquer des mises à jour logicielles afin de corriger les vulnérabilités connues. La plupart des défaillances sont liées à la portée, à la rapidité et à des processus manuels qui ne peuvent pas s'adapter à une échelle plus grande.
• Un programme complet couvre le système d'exploitation, les applications tierces, les navigateurs, les micrologiciels, l'infrastructure cloud et les appareils hors réseau, et ne se limite pas aux mises à jour du système d'exploitation.
• La hiérarchisation des priorités doit tenir compte à la fois de la gravité de la vulnérabilité, de la possibilité d'exploitation active via le KEV de la CISA et de l'importance stratégique des actifs — et non pas uniquement du score CVSS ou de la date de publication.
• L'application automatisée de correctifs, guidée par des règles, est la seule approche viable à grande échelle. « Kaseya Intelligence » va encore plus loin, passant de la planification automatisée à l'exécution et à la validation autonomes.
• Pour les MSP, des politiques de base cohérentes, des rapports de conformité par client et des calendriers alignés sur les SLA constituent les exigences opérationnelles nécessaires à la fourniture d'un service géré de gestion des correctifs.