La fenêtre de patch des PME-ETI se compte désormais en heures, plus en semaines : entre la publication d’un correctif et la première exploitation de masse, il s’écoule parfois moins d’une journée. Le secteur a un nom pour ce basculement : le N-day devient N-hour. Comprendre pourquoi cette fenêtre de patch se referme aussi vite est aujourd’hui plus utile que d’ajouter un scanner de plus à votre stack.
Pourquoi la fenêtre de patch se réduit à des heures
Trois dynamiques se cumulent, et aucune n’est réversible :
- Le PoC public arrive avec l’avis. Les chercheurs publient de plus en plus vite après le correctif éditeur. La RCE critique SharePoint CVE-2026-50522 a été exploitée activement juste après la mise en ligne d’un PoC public.
- Le diffing de correctif est automatisé. Comparer la version vulnérable et la version corrigée pour retrouver le bug ne demande plus un expert reverse : des chaînes outillées produisent un exploit en quelques heures.
- La reconnaissance est permanente. Les scans Internet-wide identifient les cibles exposées avant même que l’entreprise ait terminé son inventaire.
Le résultat : un attaquant opportuniste n’a plus besoin de zero-day. Le N-day, exploité assez vite, produit le même effet à un coût dérisoire.
Ce que la fenêtre de patch change dans votre modèle de risque
Le SLA de patch mensuel est obsolète
Un cycle « patch Tuesday puis déploiement sous 30 jours » était défendable quand l’exploitation démarrait à J+45. Il ne l’est plus. Sur les actifs exposés — VPN, reverse proxy, serveurs de collaboration, hyperviseurs, outils d’administration — la cible réaliste est de 24 à 72 heures, pas un mois.
Tout patcher vite est impossible, et ce n’est pas le sujet
Une PME-ETI ne peut pas appliquer 400 correctifs en 48 heures. C’est précisément pourquoi la priorisation devient la compétence critique : la directive CISA sur la priorisation des CVE pousse la même logique côté fédéral américain, et la nouvelle directive opérationnelle contraignante BOD 26-04 va plus loin en imposant des processus de gestion des vulnérabilités, pas seulement des délais.
L’exposition compte plus que le score CVSS
Un CVSS 9.8 sur un service interne non exposé et sans chemin d’attaque est moins urgent qu’un CVSS 7.5 sur un portail accessible depuis Internet avec un PoC en circulation. Le triptyque à retenir : exposé + PoC public + preuve d’exploitation.
Réduire concrètement votre fenêtre de patch
Quatre leviers, par ordre de retour sur effort :
- Inventaire d’abord. Vous ne pouvez pas patcher en 48 heures ce que vous découvrez en 5 jours. Un inventaire fiable des actifs exposés est le prérequis absolu de toute réduction de la fenêtre de patch.
- Deux files, pas une. Une file « urgence » (exposé + exploitation connue) traitée sous 48 h avec un circuit d’approbation raccourci, et une file « routine » mensuelle. Mélanger les deux garantit que l’urgent avance à la vitesse du routinier.
- La mitigation compense le délai. Quand le correctif ne peut pas être déployé immédiatement, réduisez la surface : filtrage en amont, désactivation du composant vulnérable, règle WAF, restriction d’accès par IP. Une mitigation en 2 heures vaut mieux qu’un patch parfait en 3 semaines.
- Détecter l’après. Partez du principe que certaines fenêtres resteront ouvertes trop longtemps. La supervision des comportements post-exploitation — création de comptes, exécution anormale, persistance — est votre filet. C’est la même logique que sur les attaques par identité : la détection prend le relais quand la prévention cède.
Mesurer la bonne chose
La plupart des tableaux de bord affichent un taux de conformité de patch. C’est une métrique de confort. Deux indicateurs sont plus honnêtes :
- Délai médian de remédiation des CVE exploitées, sur le périmètre exposé uniquement.
- Délai de découverte : combien de temps entre la publication de l’avis et le moment où vous savez si vous êtes concerné.
Le second est souvent le vrai goulot d’étranglement, et c’est celui qu’on améliore le plus vite.
Ce qu’il faut retenir
La fenêtre de patch ne se rouvrira pas. La réponse n’est pas de patcher plus, mais de patcher le bon actif au bon moment, avec un inventaire fiable, une file d’urgence séparée, des mitigations rapides et une détection qui couvre le reste. Une PME-ETI qui sait, en 4 heures, si un avis la concerne a déjà gagné l’essentiel du combat.