Trois ans. C'est le temps pendant lequel un zero-day CVSS 10 dans Cisco SD-WAN a été exploité avant que quiconque ne s'en aperçoive. Ce cas n'est pas un accident isolé — c'est le symptôme d'un modèle de gestion des vulnérabilités qui n'a pas évolué aussi vite que les attaquants. Le cycle mensuel de Patch Tuesday, aussi utile soit-il, donne une illusion de maîtrise qui peut coûter cher.

Le mythe du cycle mensuel maîtrisé

La plupart des organisations structurent encore leur gestion des vulnérabilités autour du Patch Tuesday de Microsoft et des cycles trimestriels des autres éditeurs. Ce rythme a été conçu à une époque où les failles étaient découvertes par des chercheurs responsables et où le délai entre la publication d'un advisory et l'exploitation en masse se comptait en semaines, voire en mois.

En 2026, ce délai est tombé à quelques heures. Le cas de la CVE-2026-3055 sur Citrix NetScaler est parlant : entre la publication de l'advisory le 23 mars et les premières preuves d'exploitation active le 27, il s'est écoulé quatre jours. Un module Metasploit était disponible dans la foulée. Les équipes qui attendent le prochain cycle de patch pour prioriser sont déjà en retard avant même d'avoir commencé.

L'angle mort des équipements réseau

Le cas Cisco SD-WAN illustre un problème structurel : les équipements d'infrastructure réseau — routeurs, contrôleurs SD-WAN, load balancers, firewalls — échappent souvent aux radars des programmes de gestion des vulnérabilités. Pourquoi ? Parce que ces équipements n'ont pas d'agent EDR, ne sont pas scannés par les outils classiques de vulnerability management, et leurs logs sont rarement corrélés avec le SIEM.

Le groupe UAT-8616 l'avait parfaitement compris. En utilisant les mécanismes natifs de mise à jour de Cisco SD-WAN pour effectuer un downgrade puis escalader vers root, ils ont opéré dans un espace que personne ne surveillait. Trois ans sans détection. Ce n'est pas un échec de la technologie — c'est un échec de couverture.

La priorisation par le CVSS ne suffit pas

Un score CVSS élevé ne signifie pas que la faille sera exploitée. Un score modéré ne signifie pas qu'elle ne le sera pas. En 2025, selon les données de Mandiant, seulement 4 % des CVE publiées ont été activement exploitées — mais ces 4 % ont causé plus de 90 % des dommages documentés. Le problème, c'est que la priorisation basée uniquement sur le CVSS traite toutes les failles critiques comme égales, alors que le contexte d'exploitation est radicalement différent.

Les indicateurs qui comptent vraiment : la faille est-elle exploitée dans la nature ? Un PoC est-il disponible ? Mon environnement expose-t-il la surface d'attaque concernée ? Le catalogue CISA KEV est devenu un outil de priorisation plus fiable que le CVSS seul, parce qu'il intègre cette dimension opérationnelle. Mais encore faut-il le consulter quotidiennement et non pas une fois par mois.

Vers une gestion continue et contextuelle

Ce qu'il faut, c'est passer d'un cycle de patch périodique à une gestion continue des vulnérabilités, adaptée au contexte réel de l'organisation. Concrètement, cela implique plusieurs changements :

D'abord, un inventaire exhaustif et à jour de tous les actifs — y compris les équipements réseau, les appliances, les composants OT et IoT. On ne peut pas patcher ce qu'on ne connaît pas. Ensuite, une capacité de déploiement d'urgence testée et rodée : quand le CISA impose un délai de 24 heures comme pour la CVE-2026-20127, il faut pouvoir tenir ce rythme. Enfin, une corrélation entre les données de vulnérabilité et le contexte d'exposition réel : une faille critique sur un système isolé du réseau n'a pas la même urgence qu'une faille modérée sur un service exposé sur Internet.

Mon avis d'expert

Le Patch Tuesday reste utile comme cadence de base, mais le traiter comme le pilier central de votre gestion des vulnérabilités en 2026, c'est comme verrouiller votre porte d'entrée une fois par mois en espérant que personne n'essaie entre-temps. Les organisations qui s'en sortent sont celles qui ont compris que la gestion des vulnérabilités n'est pas un processus IT — c'est une posture de sécurité permanente. L'inventaire des actifs, la capacité de déploiement rapide et la priorisation contextuelle ne sont pas des nice-to-have. Ce sont des prérequis de survie.

Conclusion

Le modèle « scanner, prioriser, patcher, recommencer le mois prochain » a atteint ses limites. Les attaquants n'attendent pas le deuxième mardi du mois. Ils exploitent en heures ce qui ne sera patché qu'en semaines. Le vrai différenciateur n'est plus la vitesse de patch — c'est la capacité à détecter, prioriser et agir en continu, avec une visibilité complète sur l'ensemble de la surface d'attaque. Et sur ce point, la plupart des organisations ont encore un long chemin à parcourir.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique et de votre stratégie de gestion des vulnérabilités.

Prendre contact