Plus de 1 000 correctifs par mois : pourquoi l'ordre compte plus que la vitesse

Le deuxième mardi de novembre, le responsable informatique d'une entreprise de 120 personnes ouvre l'outil qui gère les mises à jour de ses ordinateurs. La liste du mois compte plus de mille lignes. Chaque ligne demande une décision : installer tout de suite, attendre, ou laisser passer. Il dispose de deux jours par mois pour ce travail, et de trois sites à maintenir en marche.

Ce mois-ci, la question n'est plus « comment tout installer ». Elle est « dans quel ordre ». Le volume a changé de nature, et la note de gravité ne dit plus où se trouve le danger.

Ce qui est sorti le 10 novembre

Le 10 novembre, Microsoft a publié sa mise à jour mensuelle de sécurité. Une faille est un défaut dans un programme, qui permet à un inconnu de faire faire à la machine ce qu'elle n'aurait pas dû faire. Le décompte de Tenable, société spécialisée dans la recherche de ces défauts, atteint 1 093 failles corrigées ce jour-là. Celui de BleepingComputer, média spécialisé qui applique la même règle de comptage chaque mois, en compte 1 235.

L'écart n'est pas une erreur. Les deux compteurs ne mesurent pas la même chose. BleepingComputer ne retient que ce qui est publié le jour dit, et laisse dehors 108 failles corrigées plus tôt dans le mois. Tenable compte les entrées de son propre catalogue. Le premier réflexe à perdre est donc de comparer deux chiffres venus de deux sources.

Sur le fond, les deux mesures racontent la même histoire. Octobre avait été le mois le plus lourd jamais publié par Microsoft : 1 411 selon BleepingComputer, 1 407 selon Tenable. Novembre recule d'environ 170 unités. Le record n'est donc pas ce mois-ci, contrairement à ce que les titres de la semaine suggèrent.

Ce qui reste est déjà considérable. Selon Tenable, 287 produits et composants sont touchés, 63 failles sont jugées critiques, et une seule est décrite par Microsoft comme déjà utilisée par des attaquants.

Pourquoi la liste a grossi

Cette croissance n'est pas un accident de calendrier. En août, Microsoft a prévenu que le volume mensuel allait augmenter. L'entreprise avait branché sur son propre code un système de recherche de failles assisté par intelligence artificielle. Un autre éditeur, Ivanti, écrit la même chose de son côté. L'IA « compresse le délai » entre la publication d'une faille et son exploitation. L'entreprise s'attend donc à « une hausse des divulgations », puisqu'elle a confié une partie de ce travail à des modèles.

L'image utile est celle d'un détecteur de fumée rendu mille fois plus sensible. Il sonne pour de vraies flammes, et il sonne aussi pour la vapeur de la douche. Le nombre d'alarmes monte. Le nombre d'incendies ne suit pas forcément.

Une réserve s'impose. Ces deux déclarations viennent de ceux qui publient les failles. Elles décrivent une intention et une tendance, pas une mesure indépendante. Aucun comptage public ne sépare, dans les 1 235 correctifs de novembre, ce qu'un outil a trouvé de ce qu'un humain a trouvé.

Ce que ces déclarations changent quand même est plus simple. Le goulot d'étranglement n'est plus la découverte. Il est la décision. Une entreprise qui reçoit mille lignes par mois n'a pas un problème de recherche, elle a un problème de tri.

Le seul chiffre qui aide à décider

Un chiffre, lui, se vérifie. Il vient de Tyler Reguly, responsable de la recherche sécurité chez Fortra, éditeur d'outils de gestion informatique. Au moment du pic d'octobre, il a compté les failles Microsoft publiées en 2026 et inscrites au catalogue des vulnérabilités déjà exploitées, tenu par la CISA, l'agence américaine de cybersécurité. Ce catalogue recense les failles que des attaquants ont réellement utilisées, preuves à l'appui. Résultat : 26.

Le même décompte donnait 30 en 2025 et 32 en 2024. Autrement dit, moins de 1 % des failles corrigées par Microsoft cette année ont été observées à l'œuvre. Sa formule mérite d'être citée telle quelle : « J'ai soutenu récemment que les nombres ne veulent rien dire. Celui de ce mois, 1 413, ne fait pas exception. »

Il ajoute lui-même la limite, et elle est importante. Une faille absente du catalogue n'est pas une faille inoffensive. Le catalogue dit ce qui a été vu. Il ne dit pas ce qu'un attaquant garde pour lui, ni ce qui sera utilisé la semaine prochaine. L'absence de preuve n'est pas une preuve d'absence.

Deux conséquences pratiques en découlent. D'abord, la note de gravité et le risque réel ne se lisent pas sur la même échelle. Ensuite, un plan dont l'objectif est « 100 % des correctifs installés » se mesure sur un chiffre qui ne protège personne. Il récompense la vitesse, pas la couverture des chemins d'attaque.

La faille réellement exploitée n'avait pas la meilleure note

La faille utilisée ce mois-ci porte le numéro CVE-2026-124194. Un identifiant CVE est le numéro d'ordre d'une faille publiée : il permet à deux entreprises, deux éditeurs et deux journalistes de parler de la même chose. Celui-ci concerne Outlook, le logiciel de courrier de Microsoft.

Sa note de gravité est de 6,5 sur 10. Microsoft la classe « modérée » et la décrit comme une usurpation, c'est-à-dire un défaut qui laisse un inconnu se faire passer pour quelqu'un d'autre. Aucune des failles critiques du mois n'a été signalée comme exploitée. La seule qui l'a été porte une note moyenne.

Le mécanisme tient en trois étapes. L'attaquant envoie un fichier de message. La personne visée l'ouvre. Outlook se connecte alors à un serveur extérieur sans afficher l'avertissement habituel, et transmet au passage une empreinte d'identité.

Cette empreinte est l'équivalent d'un badge : elle prouve qui vous êtes sans contenir votre mot de passe en clair. Avec ce badge, l'attaquant n'a plus besoin du mot de passe. Il se présente, et le serveur le croit. Microsoft précise une chose rassurante et une chose gênante : le simple survol dans le volet de prévisualisation ne suffit pas, mais il faut bien qu'une personne ouvre le fichier.

Un détail de l'avis mérite l'attention. Microsoft crédite la découverte à deux chercheurs, dont Benoît Sevens, mentionné comme ayant travaillé « avec Claude », l'assistant d'Anthropic. La faille que des attaquants utilisaient a donc été trouvée par un humain outillé d'une IA. Le même outil sert des deux côtés du guichet, et c'est précisément pourquoi le volume ne redescendra pas de sitôt.

L'ordre à appliquer dès cette semaine

Un tri en trois seaux suffit, à condition d'accepter que le seau du bas attende son tour.

Premier seau, trois jours. La faille figure au catalogue des failles exploitées, ou l'éditeur écrit « exploitation détectée ». Elle est installée dans les 72 heures, sans discussion et sans attendre le cycle mensuel. Ce mois-ci, cela concernait une seule faille, sur un logiciel de bureau.

Deuxième seau, trente jours. La faille est critique, elle touche un serveur joignable depuis le réseau interne, et aucune exploitation n'a été signalée. On teste, puis on déploie dans le cycle normal.

Troisième seau, le reste. On regroupe, on teste une fois, on installe une fois par trimestre. Les failles modérées sans exploitation connue entrent ici, y compris quand leur nombre dépasse le millier.

Deux actions ne sont pas des correctifs, coûtent une heure, et couvrent le cas de ce mois-ci. Bloquer les connexions sortantes de partage de fichiers vers Internet coupe le mécanisme décrit plus haut, même sans mise à jour installée. Réduire l'usage de l'ancienne authentification de Windows, quand l'annuaire le permet, retire sa valeur au badge volé.

Reste la vérification, qui est le point faible habituel. Un correctif téléchargé n'est pas un correctif installé : Microsoft note qu'une application Office restée ouverte peut empêcher l'installation d'aboutir. Demandez le numéro de version de l'appareil, pas la mention « déployé » dans la console.

Et changez l'indicateur que vous suivez. « Pourcentage de correctifs installés » récompense la vitesse. « Délai de fermeture sur les failles du premier seau » mesure la protection réelle. Le second tient sur une ligne et se lit chaque mois sans réunion.

Ce qu'il faut retenir

• Microsoft a corrigé plus de 1 000 failles le 10 novembre. Le chiffre exact dépend de qui compte : 1 093 ou 1 235, selon la règle retenue.
• Moins de 1 % des failles Microsoft publiées en 2026 ont été observées en exploitation. C'est ce rapport, et non le total, qui doit fixer l'ordre de votre travail.
• La seule faille réellement exploitée ce mois-ci était notée 6,5 sur 10, donc « modérée ». Une note moyenne peut être plus urgente qu'une note critique.
• Trier en trois seaux : 72 heures si l'exploitation est confirmée, 30 jours si la faille est critique et exposée, le reste au trimestre.
• Bloquer les connexions sortantes de partage de fichiers et vérifier les versions réellement installées protège autant que le correctif lui-même.