Chrome, Adobe, Fortinet, Microsoft : depuis janvier 2026, les zero-days tombent à un rythme qui met à genoux les équipes sécurité. Le modèle classique « on patche mardi, on dort tranquille » est mort. Voici pourquoi, et surtout ce qu'il faut changer concrètement dans votre approche de la gestion des vulnérabilités.

Le rythme s'accélère et personne ne suit

En quatre mois, Google a corrigé quatre zero-days dans Chrome. Microsoft a battu son record avec 167 failles dans le seul Patch Tuesday d'avril. Fortinet enchaîne les bulletins critiques sur ses appliances. Adobe a mis cinq mois à découvrir qu'un zero-day dans Acrobat Reader était exploité en conditions réelles. Ce ne sont pas des cas isolés — c'est le nouveau régime permanent.

Le problème n'est pas technique. Les patchs existent, souvent rapidement. Le problème est organisationnel : la plupart des DSI fonctionnent encore sur un cycle mensuel de patching. Un mois, c'est une éternité quand un exploit est public en 24 heures et que les attaquants automatisent le scan de masse. La CISA l'a compris en imposant des deadlines de 15 jours sur son catalogue KEV. Mais combien d'entreprises françaises suivent réellement ce calendrier ?

Le catalogue KEV : votre nouveau tableau de bord

Si vous ne suivez qu'une source en 2026, suivez le catalogue KEV de la CISA. Pas parce que c'est américain — parce que c'est le seul référentiel qui filtre le bruit. Sur les milliers de CVE publiées chaque mois, le KEV ne retient que celles dont l'exploitation active est confirmée. C'est la différence entre « cette faille pourrait être dangereuse » et « cette faille est utilisée maintenant contre des cibles réelles ».

En pratique, cela signifie revoir votre politique de priorisation. Le score CVSS seul ne suffit plus. Un CVSS 7.8 exploité activement est plus urgent qu'un CVSS 9.8 théorique sans PoC. Intégrez le statut KEV dans vos workflows de patch management. Si une CVE entre au KEV, elle passe en priorité immédiate — pas au prochain cycle mensuel.

Les appliances réseau : angle mort numéro un

Fortinet, Ivanti, Juniper, Cisco : les appliances réseau concentrent une part disproportionnée des zero-days de 2026. La raison est simple — ces équipements sont exposés sur Internet par design, tournent souvent sur des versions firmware obsolètes, et les équipes IT considèrent à tort qu'un firewall « se protège lui-même ». C'est exactement l'inverse : un firewall compromis donne accès à tout ce qu'il est censé protéger.

Le retour d'expérience terrain est sans appel. Dans les audits que je réalise, je constate systématiquement des appliances réseau avec deux ou trois versions de retard sur le firmware, des interfaces d'administration exposées sur Internet sans MFA, et des comptes administrateurs par défaut jamais désactivés. Chaque bulletin Fortinet ou Ivanti devrait déclencher un plan d'action immédiat, pas un ticket dans la file d'attente du N+1.

Ce qu'il faut changer concrètement

Premièrement, passez d'un cycle mensuel à un cycle continu. Les outils existent : WSUS, Intune, Jamf, Ansible — automatisez le déploiement des patchs critiques sous 72 heures. Deuxièmement, segmentez votre réseau de management. Les interfaces d'administration de vos appliances ne doivent jamais être accessibles depuis Internet. Troisièmement, abonnez-vous aux flux KEV de la CISA et aux alertes du CERT-FR. Configurez des alertes automatiques sur vos produits stratégiques. Quatrièmement, testez votre capacité de réaction. Faites un exercice de patching d'urgence une fois par trimestre — le jour où un vrai zero-day tombe, vous saurez qui fait quoi.

Mon avis d'expert

Le vrai problème en 2026 n'est pas le nombre de zero-days — c'est l'écart entre la vitesse des attaquants et la vitesse de réaction des défenseurs. Les entreprises qui survivront sont celles qui auront compris que le patching n'est plus une tâche administrative mensuelle mais un processus de sécurité continu, au même titre que la détection d'intrusion ou la réponse à incident. Si vous patchez encore « quand on a le temps », vous êtes déjà compromis — vous ne le savez juste pas encore.

Conclusion

2026 n'est pas une année exceptionnelle en matière de zero-days — c'est la nouvelle normalité. Les organisations qui s'adapteront le plus vite à ce rythme seront celles qui investissent dans l'automatisation du patching, la segmentation réseau et la veille active. Les autres continueront de découvrir les vulnérabilités dans les rapports d'incident post-compromission. Le choix est simple, même s'il n'est pas facile.

Pour approfondir ces sujets, consultez nos analyses récentes : le zero-day Adobe Acrobat Reader resté exploité pendant cinq mois, les zero-days FortiClient EMS ciblant les infrastructures réseau, le Patch Tuesday record d'avril 2026, et notre analyse de fond sur les attaques supply chain en 2026 qui exploitent ces mêmes failles pour maximiser leur impact.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique et de votre capacité réelle de réaction face aux vulnérabilités critiques.

Prendre contact