En mai 2017, WannaCry a paralysé plus de 230 000 ordinateurs dans 150 pays en quelques heures, dont des hôpitaux, des entreprises de télécommunication et des usines. La faille exploitée, EternalBlue, avait pourtant été corrigée par Microsoft deux mois auparavant. En décembre 2021, Log4Shell, l’une des vulnérabilités les plus critiques de la décennie, a mis en danger des millions de serveurs et des PME sans processus de patch management ont encore été compromises des mois après la publication du correctif.
La réalité est implacable : 60 % des cyberattaques réussies exploitent des vulnérabilités pour lesquelles un correctif existait déjà, mais n’avait pas été appliqué. Le patch management, c’est-à-dire la gestion systématique des mises à jour de sécurité, est l’une des mesures les plus efficaces et les plus sous-estimées pour protéger votre PME. Et pourtant, dans la majorité des PME françaises, il n’existe aucun processus formalisé.
Ce guide vous explique pas à pas comment mettre en place un patch management efficace, quels outils utiliser, et comment prioriser intelligemment les correctifs pour protéger votre entreprise sans paralyser votre activité.
Qu’est-ce que le patch management et pourquoi est-ce critique ?
Le patch management (ou gestion des correctifs) désigne l’ensemble des processus et outils permettant d’identifier, tester, déployer et vérifier les mises à jour logicielles, en particulier les correctifs de sécurité (patches), sur l’ensemble de l’infrastructure informatique d’une organisation.
Ces correctifs comblent des failles de sécurité découvertes dans les systèmes d’exploitation (Windows, Linux, macOS), les applications (Microsoft 365, navigateurs, Adobe), les serveurs (Apache, Nginx, IIS), les équipements réseau (routeurs, switches, firewalls) et les firmwares (BIOS, IoT). Une faille non patchée est une porte ouverte documentée que les attaquants peuvent exploiter grâce aux exploits publiquement disponibles sur internet.
Les chiffres qui font mal
- 60 % des violations de données impliquent une vulnérabilité pour laquelle un patch était disponible (Ponemon Institute)
- 15 jours : délai moyen entre la publication d’un exploit et la première attaque l’utilisant
- 102 jours : délai moyen de déploiement d’un patch dans les PME (contre 16 jours dans les grandes entreprises)
- 26 000 nouvelles CVE (vulnérabilités) publiées en 2024, soit plus de 70 par jour
Ce delta entre la publication d’un patch et son déploiement effectif est précisément ce que les attaquants exploitent. Une vulnérabilité non corrigée constitue souvent le point d’entrée initial d’attaques bien plus difficiles à détecter ensuite : notre article sur le malware fileless et les techniques qui échappent aux antivirus montre comment ces intrusions se déroulent une fois l’accès obtenu. Votre objectif en tant que PME est de réduire ce délai au maximum pour les patches critiques.
Les vulnérabilités zero-days sont les menaces qui justifient tout le patch management.
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Pourquoi les PME négligent les mises à jour
Il n’y a pas de mauvaise volonté, il y a des freins réels que toutes les PME rencontrent :
- Peur de casser la production : un patch peut introduire des incompatibilités ou casser des applications critiques. Cette peur est légitime et justifie de tester avant de déployer.
- Manque de visibilité : sans inventaire précis, les PME ne savent souvent pas quels systèmes doivent être patchés, ni quelles versions sont installées.
- Pas de temps dédié : dans une PME, la personne en charge de l’IT gère souvent les urgences du quotidien et le patch management passe en dernier.
- Systèmes legacy incompatibles : certaines applications métier critiques ne fonctionnent qu’avec des versions anciennes de Windows ou de bibliothèques spécifiques.
- Volume écrasant : avec 70+ CVE publiées par jour, il est impossible de tout patcher. La prioritisation est essentielle.
Toutes ces raisons expliquent pourquoi un bon processus de patch management doit être structuré, automatisé et priorisé, et pas une liste de tâches manuelles gérées au cas par cas. Votre checklist cybersécurité PME doit inclure explicitement le patch management comme point de contrôle régulier.
Les 5 étapes d’un processus de patch management efficace
Étape 1 : Inventaire et découverte des actifs
Vous ne pouvez pas patcher ce que vous ne connaissez pas. La première étape est de constituer un inventaire exhaustif et à jour de tous vos actifs informatiques : serveurs (physiques et virtuels), postes de travail, équipements réseau, applications, services cloud, et même les équipements IoT. Cet inventaire doit être automatisé et mis à jour en continu, et pas une liste Excel faite une fois par an. Des outils comme Lansweeper, Nessus, ou les modules d’inventaire des solutions de patch management automatisent entièrement cette découverte.
Étape 2 : Identification et évaluation des vulnérabilités
Une fois l’inventaire établi, il faut identifier les vulnérabilités présentes sur chaque actif. Les scanners de vulnérabilités (Nessus, OpenVAS, Qualys) analysent automatiquement vos systèmes et les comparent aux bases de données CVE pour identifier les failles connues. Chaque vulnérabilité reçoit un score CVSS (Common Vulnerability Scoring System) de 0 à 10 qui évalue sa criticité. Un score CVSS ≥ 9 (critique) doit être traité en urgence absolue.
Étape 3 : Priorisation des patches
Avec des dizaines ou centaines de vulnérabilités identifiées, la priorisation est l’étape clé. Utilisez le framework suivant :
| Priorité | Critères | Délai cible |
|---|---|---|
| 🔴 Critique | CVSS ≥ 9 + exploit actif connu + système exposé internet | 24-72 heures |
| 🟠 Haute | CVSS 7-8.9 ou CVSS ≥ 9 sans exploit actif connu | 7 jours |
| 🟡 Moyenne | CVSS 4-6.9, systèmes internes uniquement | 30 jours |
| 🟢 Faible | CVSS < 4, systèmes non critiques, pas d’exploit connu | Prochain cycle mensuel |
Au-delà du CVSS, consultez l’EPSS (Exploit Prediction Scoring System) qui évalue la probabilité réelle qu’une vulnérabilité soit exploitée dans les 30 prochains jours. Une vulnérabilité avec un CVSS de 7 mais un EPSS élevé mérite d’être traitée avant une CVE de 9 sans exploit connu.
Étape 4 : Test et déploiement
Pour les systèmes critiques, ne déployez jamais directement en production sans tests préalables. Le workflow recommandé :
- Environnement de test : appliquez le patch sur une machine de test représentative et vérifiez que les applications critiques fonctionnent normalement
- Déploiement pilote : déployez sur un sous-ensemble de machines (5-10 % du parc)
- Surveillance post-déploiement : surveillez pendant 24-48h les éventuels problèmes
- Déploiement général : si aucun problème, déployez sur l’ensemble du parc
Pour les patches critiques avec exploit actif, le risque de ne pas patcher dépasse largement le risque d’incompatibilité. Dans ce cas, déployez rapidement avec un plan de rollback clair.
Étape 5 : Vérification et reporting
Après déploiement, vérifiez que le patch a bien été appliqué sur tous les systèmes ciblés (taux de couverture). Documentez chaque cycle de patch management car cette documentation est exigée par la directive NIS2 pour les entités concernées et attendue lors d’un audit de cybersécurité. Mesurez votre Mean Time to Patch (MTTP) par niveau de criticité et fixez des objectifs d’amélioration.
Les meilleurs outils de patch management pour PME
NinjaRMM (NinjaOne)
Solution tout-en-un de Remote Monitoring and Management très populaire chez les MSP et les PME. NinjaRMM inclut un module de patch management automatisé pour Windows, macOS et Linux, avec gestion des applications tierces (Chrome, Adobe, Java, etc.). Interface intuitive, déploiement rapide, excellent rapport qualité-prix pour les PME de 10 à 500 postes.
Microsoft Endpoint Configuration Manager / Intune
Pour les PME sous environnement Microsoft, Intune (inclus dans Microsoft 365 Business Premium) offre des capacités de patch management intégrées via Windows Update for Business. MECM (anciennement SCCM) est la solution enterprise de Microsoft pour les environnements plus complexes. L’avantage : une intégration native avec votre environnement Microsoft 365.
Ivanti Neurons for Patch Management
Solution entreprise intégrant l’IA pour la priorisation des patches basée sur le risque réel (combinaison CVSS + EPSS + contexte spécifique de votre environnement). Idéale pour les PME de taille plus importante (50+ postes) avec des besoins de reporting détaillé pour la conformité NIS2 ou SOC 2.
Qualys VMDR (Vulnerability Management, Detection and Response)
Qualys combine scan de vulnérabilités, priorisation par risque et déploiement de patches en une seule plateforme cloud. Sa base de données de vulnérabilités (KnowledgeBase) est l’une des plus complètes du marché. Solution adaptée aux PME avec une infrastructure hybride (on-premise + cloud).
Patch management et conformité : NIS2 et RGPD
La directive NIS2, transposée en droit français, impose aux entités concernées (secteurs essentiels et importants) de mettre en œuvre une gestion des vulnérabilités et des correctifs formalisée. Le non-respect peut entraîner des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
Même pour les PME non soumises à NIS2, le RGPD exige la mise en œuvre de « mesures techniques et organisationnelles appropriées » pour protéger les données personnelles, ce qui inclut explicitement la gestion des vulnérabilités logicielles. Une PME victime d’une cyberattaque exploitant une faille non patchée pourrait voir sa responsabilité engagée au titre du RGPD si elle ne peut pas démontrer avoir mis en place un processus de patch management raisonnable.
Le patch management est également un prérequis pour les certifications et audits de cybersécurité demandés par vos clients grands comptes ou par les assureurs cyber lors de la souscription d’une cyber-assurance.
Questions fréquentes sur le patch management en PME
Quelle est la différence entre une mise à jour et un patch de sécurité ?
Une mise à jour peut inclure de nouvelles fonctionnalités, des améliorations de performance et des corrections de bugs. Un patch de sécurité est une mise à jour ciblée qui corrige spécifiquement une vulnérabilité exploitable par un attaquant. Les patches de sécurité sont prioritaires car leur non-application expose directement votre entreprise à des risques de compromission. Les éditeurs publient souvent des patches d’urgence (out-of-band) en dehors de leur cycle habituel lorsqu’une vulnérabilité critique est activement exploitée dans la nature.
Combien de temps faut-il pour patcher une vulnérabilité critique ?
Pour une vulnérabilité critique avec exploit actif (CVSS ≥ 9 + EPSS élevé), visez un déploiement en 24 à 72 heures sur les systèmes exposés à internet. Pour les systèmes internes critiques, 7 jours maximum. En pratique, les PME qui utilisent un outil de patch management automatisé atteignent ces délais sans effort supplémentaire. Sans outil dédié, le délai moyen dépasse 100 jours ; une éternité quand un exploit circule déjà sur les forums du dark web.
Que faire si un patch casse une application critique ?
C’est le scénario redouté mais gérable. Avant tout déploiement sur les systèmes de production, testez le patch dans un environnement représentatif. Si un patch provoque une incompatibilité inacceptable, vous avez trois options : rollback immédiat (annuler le patch le temps que l’éditeur publie une version corrigée), compensation controls (isolation réseau du système, surveillance renforcée, blocage temporaire de l’accès internet), ou virtualisation du système legacy dans un environnement isolé pendant la migration. Documentez toutes les exceptions car elles seront demandées lors d’un audit.
Faut-il aussi patcher les équipements réseau (routeurs, switches, firewalls) ?
Absolument, et c’est souvent l’angle mort des PME. Les équipements réseau, routeurs, switches, firewalls, points d’accès Wi-Fi, ont leurs propres firmwares qui contiennent des vulnérabilités. Des failles critiques ont été découvertes dans des équipements Cisco, Fortinet, Netgear ou TP-Link qui donnent aux attaquants un accès total au réseau. Ces équipements ont souvent des mécanismes de mise à jour différents des serveurs et postes de travail, et doivent être intégrés dans votre processus de patch management. Consultez notre guide sécurisation du réseau Wi-Fi pour les spécificités des équipements sans fil.
Le patch management s’applique-t-il aussi aux applications SaaS ?
Pour les applications SaaS (Salesforce, Microsoft 365, Google Workspace, etc.), les mises à jour sont gérées par l’éditeur, vous n’avez pas à les déployer. Mais vous devez surveiller les annonces de sécurité des éditeurs et appliquer les actions correctives requises de votre côté (révoquer des tokens compromis, changer des configurations par défaut, activer de nouvelles options de sécurité). Le patch management reste votre responsabilité pour tous les agents, plugins, connecteurs ou extensions que vous avez installés sur ces plateformes.
Conclusion : le patch management, votre meilleur retour sur investissement en cybersécurité
Le patch management n’est pas glamour. Il n’existe pas de dashboard impressionnant à montrer à la direction, pas d’incident spectaculairement évité à raconter. C’est précisément pour ça que les PME le négligent, et c’est précisément pour ça que les attaquants l’adorent.
Pourtant, le patch management est probablement le meilleur retour sur investissement en cybersécurité : pour quelques centaines d’euros par mois (ou même gratuitement avec les outils intégrés à Windows), vous éliminez la cause de 60 % des cyberattaques réussies. Aucun autre investissement sécurité n’offre ce rapport coût/efficacité.
Commencez simple : automatisez les mises à jour Windows sur tous vos postes, établissez un inventaire de vos actifs, et définissez une politique de patch avec des délais clairs par niveau de criticité. Ensuite, progressez vers un outil dédié adapté à la taille de votre parc. Ce n’est pas un projet, c’est une hygiène. Et comme l’hygiène, c’est ce qui protège le mieux ; discrètement, systématiquement, jour après jour.
Pour aller plus loin dans la sécurisation de votre PME, consultez notre guide complet cybersécurité PME 2026 et notre plan de réponse à incident pour savoir quoi faire si, malgré tout, une attaque réussit.
