Microsoft : les équipements réseau restent plus d'un an sans correctif, alors que les failles sont exploitées en trois jours en 2026

Le 2 novembre, les chercheurs en sécurité de Microsoft ont publié une analyse de quelque 383 000 vulnérabilités (CVE, les failles référencées publiquement) recensées de 1999 à septembre 2026, croisée avec les données 2026 de son outil de gestion de l’exposition. Côté correctifs, le délai médian pour corriger une faille est d’environ deux semaines sur les postes Windows, de plus d’un mois sur les serveurs Windows, de plus de dix semaines sur les serveurs Linux et de plus d’un an sur les équipements réseau (pare-feu, VPN, passerelles). Côté attaquants, le délai moyen entre la publication d’une faille et son inscription au catalogue des failles exploitées de l’agence américaine CISA est passé de 89 jours en 2024 à 57 jours en 2025, puis à 20 jours en 2026, avec une médiane de trois jours ; Microsoft attribue en partie cette accélération aux progrès de l’IA. Moins d’une faille publiée sur 200 est exploitée, mais celles qui le sont visent surtout la prise de contrôle (exécution de code à distance, contournement d’authentification, élévation de privilèges), soit 78 % des cas. Ce que cela change pour vous : les failles de VPN et de pare-feu que nous signalons semaine après semaine (Ivanti le 4 novembre, Cisco le 30 octobre, Palo Alto Networks le 28 octobre) touchent précisément les équipements les plus lents à corriger ; demandez à votre prestataire la date du dernier firmware (logiciel interne de l’équipement) installé sur votre pare-feu et votre VPN, et convenez avec lui, par écrit, d’un délai d’application de quelques jours pour les failles exploitées, plutôt qu’un passage trimestriel.