Gestion des correctifs en entreprise : la méthode de patch management pour une PME

La réponse courte : la gestion des correctifs (patch management) n’est pas « cliquer sur Mettre à jour de temps en temps ». C’est un cycle en cinq temps : savoir ce qu’on possède, savoir ce qui est vulnérable, décider ce qui passe en premier, déployer par vagues et vérifier que c’est installé. Dans une PME, deux règles font l’essentiel du travail : les failles déjà exploitées et les équipements exposés à Internet (pare-feu, VPN, messagerie, standard téléphonique) passent avant tout le reste, et les postes de travail se mettent à jour automatiquement, par anneaux, avec une échéance.

Chez ALLSAFE SOLUTIONS, infogérant à Casablanca, nous appliquons ce cycle chaque mois chez nos clients dans le cadre de notre offre de cybersécurité des entreprises au Maroc. Ce guide s’appuie sur la publication NIST SP 800-40 Rev. 4 (Guide to Enterprise Patch Management Planning), la documentation Microsoft Learn sur Windows Update et Intune, le catalogue CISA KEV et les bulletins du maCERT de la DGSSI.

Pourquoi les correctifs restent la première ligne de défense

Les attaques qui touchent les entreprises au Maroc suivent souvent le même schéma : une faille publiée sur un équipement exposé, un correctif disponible, et une entreprise qui ne l’a pas encore installé. Pare-feu, passerelles VPN, serveurs de messagerie, hyperviseurs : ce sont des cibles de choix, parce qu’un seul équipement donne accès à tout le réseau. Nos alertes récentes en donnent des exemples concrets, comme la faille VMware ESX CVE-2026-41709, exploitée avant que beaucoup d’entreprises aient mis à jour.

Le NIST le formule simplement : le patch management est une maintenance préventive. Il ne se décide pas faille par faille dans l’urgence ; il se planifie, avec un calendrier, des responsables et un contrôle. Les CIS Controls en font l’objet de leur contrôle n° 7, la gestion continue des vulnérabilités. Et une organisation qui patche régulièrement gère mieux l’urgence le jour où une faille critique tombe.

Étape 1 : l’inventaire, sans lequel rien ne marche

On ne corrige pas ce qu’on ne connaît pas. L’inventaire liste, pour chaque équipement :

• le type et le rôle : poste, serveur, pare-feu, switch, borne Wi-Fi, IPBX, NAS, imprimante ;
• le système et la version exacte : Windows 11 et sa version, Windows Server, FortiOS, Fireware, ESXi, Proxmox VE, firmware du NAS ;
• les logiciels installés sur les postes et serveurs : navigateurs, suite bureautique, lecteurs PDF, clients VPN, ERP ;
• l’exposition : accessible depuis Internet ou non ;
• la date de fin de support annoncée par l’éditeur ;
• le responsable : qui valide et qui applique.

Dans une PME, l’outil de gestion des postes (Intune, une console RMM d’infogérance, la console de l’antivirus ou de l’EDR) fournit l’essentiel pour les ordinateurs. Les équipements réseau, la téléphonie et le stockage s’ajoutent à la main, et c’est souvent là que se cachent les oublis. Nous détaillons la gestion des postes Windows dans notre guide Microsoft Intune pour PME.

Étape 2 : savoir ce qui est vulnérable

Quatre sources se complètent :

Source	Ce qu’elle apporte
Avis des éditeurs (Microsoft Security Response Center, FortiGuard PSIRT, WatchGuard, VMware, Veeam, 3CX…)	Produits et versions touchés, gravité, version corrigée, mesures d’attente
Catalogue CISA KEV	Liste des failles dont l’exploitation est confirmée, avec une date limite de correction pour les agences fédérales américaines
Bulletins du maCERT (DGSSI)	Alertes publiées pour les organisations marocaines, souvent avec les liens vers les avis éditeurs
Scanner de vulnérabilités	Ce qui manque réellement sur vos machines, version par version

Microsoft publie ses correctifs de sécurité mensuels le deuxième mardi du mois (« Patch Tuesday »), avec des publications hors calendrier en cas d’urgence. Les autres éditeurs ont leur propre rythme : il faut donc suivre leurs avis, pas seulement Windows Update. C’est le rôle de notre rubrique Alertes sécurité, où nous résumons chaque faille importante avec les versions à installer.

Étape 3 : prioriser, parce qu’on ne peut pas tout faire le même jour

Chaque mois apporte des dizaines de correctifs. Les trier par seul score CVSS ne suffit pas : beaucoup de failles sont classées critiques sans jamais être exploitées, et certaines failles de gravité moyenne sont exploitées massivement. Nous croisons trois critères :

1. La faille est-elle exploitée ? Présence dans le catalogue CISA KEV, ou mention « exploitée » dans l’avis de l’éditeur. Si oui, c’est une urgence.
2. L’équipement est-il exposé à Internet ? Un pare-feu, un portail VPN, une messagerie, un serveur web ou un IPBX joignable de l’extérieur passe avant un serveur interne.
3. Quelle est la gravité publiée par l’éditeur ? Critique, élevée, moyenne, faible.

Le score EPSS (Exploit Prediction Scoring System), publié par FIRST, estime la probabilité qu’une faille soit exploitée dans les 30 jours. Il aide à départager les nombreuses failles « élevées ».

En pratique, cela donne quatre niveaux de traitement :

Niveau	Cas	Traitement
Urgence	Faille exploitée sur un équipement exposé (pare-feu, VPN, messagerie)	Correctif ou mesure d’attente immédiatement, hors calendrier
Prioritaire	Faille exploitée sur un système interne, ou faille critique sur un équipement exposé	Au plus vite, avec une fenêtre de maintenance dédiée
Cycle mensuel	Correctifs de sécurité courants (Patch Tuesday, mises à jour navigateurs et logiciels)	Anneaux de déploiement habituels
Planifié	Mises à jour fonctionnelles, nouvelles versions majeures, firmwares sans faille connue	Après test, dans le calendrier trimestriel

Étape 4 : déployer par anneaux

Les postes de travail

Microsoft recommande de déployer par anneaux : un petit groupe de test (souvent l’équipe informatique), un groupe pilote représentatif des métiers, puis le reste du parc. Dans Intune, chaque anneau se règle avec :

• un report des mises à jour qualité de 0 à 30 jours ;
• un report des mises à jour de fonctionnalités de 0 à 365 jours ;
• une échéance de 2 à 30 jours, après laquelle la mise à jour s’installe automatiquement ;
• une période de grâce de 0 à 7 jours avant le redémarrage forcé ;
• la possibilité de suspendre un anneau jusqu’à 35 jours si un correctif pose problème, et de désinstaller la dernière mise à jour qualité.

L’échéance est le réglage le plus important : sans elle, les postes d’utilisateurs qui ne redémarrent jamais restent des semaines sans correctif. Windows Autopatch, inclus dans certaines licences Microsoft 365, automatise ces anneaux. Pour les logiciels tiers (navigateurs, lecteurs PDF, outils de visioconférence), on active leur mise à jour automatique ou on les pousse par l’outil de gestion des postes.

Les serveurs

Les serveurs ne se patchent pas comme les postes : un redémarrage interrompt l’activité. La méthode :

• une fenêtre de maintenance fixe, connue des métiers (par exemple un soir de semaine après le Patch Tuesday) ;
• une sauvegarde vérifiée ou un instantané de la machine virtuelle juste avant ;
• l’ordre de redémarrage respecté : contrôleurs de domaine un par un, puis serveurs de fichiers, puis applications ;
• un test fonctionnel après redémarrage : ouverture de session, partages, ERP, impression.

Les contrôleurs de domaine passent en priorité : nous expliquons pourquoi dans notre guide de durcissement Active Directory.

Pare-feu, hyperviseurs et équipements réseau

C’est souvent le point faible, alors que ce sont les équipements les plus exposés. Un pare-feu ou un hyperviseur ne se met pas à jour automatiquement : il faut lire la note de version, vérifier le chemin de mise à jour recommandé par l’éditeur, sauvegarder la configuration, puis planifier une coupure courte. Notre guide mettre à jour FortiOS détaille la méthode pour FortiGate ; le principe est le même pour WatchGuard Fireware, VMware ESXi, Proxmox VE, les NAS et les IPBX.

Étape 5 : vérifier, et mesurer

Un correctif « déployé » n’est pas forcément installé. Le contrôle mensuel porte sur :

• le taux de postes à jour par anneau, et la liste nominative des retardataires ;
• les serveurs non redémarrés depuis la dernière fenêtre ;
• la version de chaque pare-feu, hyperviseur et IPBX comparée à la dernière version corrigée ;
• les échecs d’installation et leur cause ;
• les systèmes en fin de support encore présents.

Ces indicateurs entrent dans le rapport mensuel d’infogérance. Nous les présentons dans notre article sur les indicateurs de supervision informatique.

Les systèmes qu’on ne peut pas corriger

Un système en fin de support ne reçoit plus de correctifs de sécurité. Windows 10 est arrivé en fin de support le 14 octobre 2025 ; les anciennes versions de Windows Server, certains NAS, d’anciens IPBX et des pare-feu de génération ancienne sont dans le même cas. Pour ces équipements :

• planifier le remplacement dans le budget, à partir de l’inventaire (voir notre guide sur le renouvellement du parc informatique) ;
• isoler en attendant : réseau séparé, pas d’accès Internet, comptes limités, règles de pare-feu strictes ;
• surveiller : un EDR et la supervision réduisent le risque sans le supprimer.

Les erreurs que nous rencontrons le plus

1. Patcher Windows et oublier le pare-feu, le VPN ou l’hyperviseur, qui sont justement les équipements visés.
2. Des mises à jour automatiques sans échéance : des postes qui ne redémarrent pas pendant des semaines.
3. Aucune sauvegarde avant la mise à jour d’un serveur, donc aucun retour arrière possible.
4. Un serveur « trop sensible pour être redémarré », qui finit par cumuler des mois de retard.
5. Pas de liste des fins de support, découverte le jour où une faille grave est publiée.
6. Personne de responsable : chacun pense que l’autre s’en occupe.

Checklist de la gestion des correctifs

• Inventaire à jour : matériel, systèmes, versions, logiciels, exposition, fins de support.
• Veille éditeurs, catalogue CISA KEV et bulletins maCERT suivis chaque semaine.
• Règle de priorité écrite : failles exploitées et équipements exposés d’abord.
• Anneaux de déploiement pour les postes, avec échéance et période de grâce.
• Fenêtre de maintenance mensuelle pour les serveurs, sauvegarde vérifiée avant.
• Procédure de mise à jour des pare-feu, hyperviseurs, NAS et IPBX.
• Contrôle mensuel du taux de conformité et liste des retardataires.
• Plan de remplacement des systèmes en fin de support.

Comment nous procédons

Nous commençons par un audit initial offert : inventaire du parc, versions des équipements exposés, état des mises à jour des postes et serveurs, systèmes en fin de support. Vous recevez une liste de corrections classées par risque. Ensuite, dans le cadre de notre infogérance au Maroc, nous appliquons le cycle chaque mois : anneaux Intune ou console RMM pour les postes, fenêtres de maintenance pour les serveurs, mises à jour des pare-feu et hyperviseurs, et rapport de conformité. Notre équipe de supervision 24/7 suit les alertes, et un incident critique est pris en charge en moins de 15 minutes.

En tant que partenaire Microsoft et partenaire Fortinet, nous administrons au quotidien Windows, Intune, les serveurs et les pare-feu de nos clients. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.