Patch Tuesday

Définition

Le Patch Tuesday est le jour mensuel de publication de correctifs de sécurité par Microsoft, fixé au deuxième mardi de chaque mois. Institué en octobre 2003 pour remplacer les publications ad-hoc imprévisibles, il permet aux équipes IT et de sécurité d'anticiper et planifier les opérations de patching. Ce cycle prévisible est devenu la référence mondiale pour la gestion des correctifs, de nombreux autres éditeurs (Adobe, SAP, Oracle, Cisco) ayant coordonné leurs calendriers de publications. Lors de chaque Patch Tuesday, Microsoft publie des mises à jour via Windows Update, WSUS, SCCM/Intune, et le Microsoft Update Catalog. Les types de mises à jour incluent : correctifs de sécurité (Security Updates, étiquetés KB XXXXXX), mises à jour cumulatives (Cumulative Updates — contiennent tous les correctifs précédents pour Windows 10/11 et Server 2016+), mises à jour de sécurité de maintenance (Security Maintenance Updates — correctifs uniquement pour les versions LTS), et mises à jour non sécuritaires (optionnelles, publiées le 4ème mardi du mois sous le programme Release Preview). Chaque Patch Tuesday comprend des bulletins de sécurité documentant les vulnérabilités corrigées avec leur CVE, leur score CVSS, les produits affectés, la sévérité (Critical, Important, Moderate, Low), et l'information cruciale d'exploitation active (Exploited : Yes/No) et de divulgation publique préalable (Publicly Disclosed : Yes/No). Les vulnérabilités marquées "Exploitation Active" doivent être traitées en urgence — elles sont activement exploitées in-the-wild avant la publication du patch. Le terme "Exploited Zero-Day" lors d'un Patch Tuesday désigne une vulnérabilité qui était déjà exploitée activement avant que Microsoft ne publie le correctif — une situation critique car les organisations ont été exposées pendant une fenêtre de temps variable. Le CISA KEV (Known Exploited Vulnerabilities) catalog inclut automatiquement ces vulnérabilités et impose des délais de correction courts aux agences fédérales américaines. La gestion du Patch Tuesday s'inscrit dans un processus de patch management structuré : évaluation des mises à jour dans un environnement de test (test, staging), déploiement sur les systèmes non critiques en premier, puis les systèmes critiques selon un plan de change management, surveillance des redémarrages et des éventuels problèmes de compatibilité, et documentation de la conformité pour les audits.