Correctifs Windows : anneaux, échéances, KEV d'abord

Chaque contrôle présenté sur ce site suppose que le système d'exploitation sous-jacent est à jour. En pratique, les correctifs échouent moins par manque d'outils que par défaut de processus : les mises à jour sont approuvées mais jamais imposées, un groupe pilote ne termine jamais, les serveurs attendent une fenêtre de maintenance qui ne vient pas, et les pilotes, micrologiciels et applications tierces que les attaquants exploitent réellement échappent entièrement au processus.

Ce guide décrit un processus de correctifs pour les postes clients et les serveurs Windows qui aboutit chaque mois.

Comment les mises à jour Windows sont distribuées

• Mise à jour cumulative mensuelle (LCU) le Patch Tuesday, deuxième mardi de chaque mois, contenant tous les correctifs de sécurité et de qualité. Cumulative signifie qu'installer la plus récente met un appareil entièrement à jour.
• Préversion facultative non liée à la sécurité plus tard dans le mois. Utile pour tester en avance les changements du mois suivant ; inutile pour la sécurité.
• Publications hors bande (OOB) pour les problèmes urgents, en dehors du cycle mensuel.
• Mises à jour de fonctionnalités (nouvelle version de Windows) une fois par an pour Windows 11 ; chaque version a une durée de maintenance fixe.
• Les mises à jour de la pile de maintenance sont désormais incluses dans la mise à jour cumulative sur les versions actuelles.
• Les mises à jour de la plateforme et du renseignement de sécurité Microsoft Defender suivent un circuit distinct, plusieurs fois par jour.

Choisir l'outil de distribution

La plupart des organisations finissent avec Update for Business ou Autopatch pour les postes clients, et Configuration Manager ou Azure Update Manager pour les serveurs.

Construire des anneaux avec échéances

Les anneaux permettent d'intercepter la rare mise à jour défectueuse sans retarder tout le monde. Un modèle type à quatre anneaux pour les postes clients :

Avec ces valeurs, l'ensemble du parc est à jour environ deux semaines après le Patch Tuesday. Les recommandations de Microsoft sur la conformité des mises à jour sont plus strictes : report plus échéance plus période de grâce ne devraient pas dépasser 7 jours pour les mises à jour qualité. Considérez les anneaux les plus longs ci-dessus comme une limite haute, pas comme un objectif. La colonne clé est Échéance : sans elle, les utilisateurs reportent indéfiniment les redémarrages et les appareils restent avec des mises à jour téléchargées mais non appliquées.

Les paramètres de stratégie de groupe des stratégies du client Windows Update se trouvent sous Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Update et Manage end user experience :

Intune expose la même logique dans Devices > By platform > Windows > Manage updates > Windows updates, onglet Update rings.

Serveurs

Les serveurs exigent la même discipline, avec des mécanismes différents :

• Regroupez les serveurs par groupe de correctifs (par exemple par application et par redondance), pas par version d'OS. Les nœuds de cluster et les paires redondantes vont dans des groupes différents.
• Donnez à chaque groupe une fenêtre mensuelle fixe, la première dans la semaine qui suit le Patch Tuesday, la dernière dans les trois semaines environ.
• Corrigez les contrôleurs de domaine tôt et par lots (jamais tous en même temps) ; ils sont à la fois de grande valeur et bien testés par Microsoft.
• Le hotpatch est disponible pour Windows Server 2022 Datacenter: Azure Edition et pour Windows Server 2025 (dans Azure et sur les machines connectées à Arc) ; il installe la plupart des mises à jour de sécurité mensuelles sans redémarrage, avec un redémarrage de référence chaque trimestre. Là où il est disponible, il supprime la principale raison pour laquelle les serveurs prennent du retard.

Prioriser selon l'exploitation, pas seulement la gravité

Toutes les vulnérabilités ne se valent pas. Priorisez :

1. Les vulnérabilités connues pour être exploitées : signalées « Exploitation Detected » dans le Security Update Guide de Microsoft, ou listées dans le catalogue CISA Known Exploited Vulnerabilities (KEV). Elles justifient un déploiement hors cycle en quelques jours.
2. Les vulnérabilités des services exposés : tout ce qui est joignable depuis Internet (passerelles VPN, Exchange, RD Gateway, serveurs web) ou les services d'identité centraux (DC, AD CS).
3. Le reste de la mise à jour mensuelle, selon le rythme normal de vos anneaux.

Le score CVSS seul est un mauvais critère de priorisation ; une vulnérabilité « moyenne » exploitée dans un service exposé à Internet passe avant une « critique » dans un composant que vous n'utilisez pas.

Combler les angles morts hors de Windows Update

Les attaquants exploitent ce qui n'est pas corrigé, et une grande partie n'est pas Windows :

Mesurer la conformité

Ce qui est mesuré est corrigé. Suivez par anneau et par groupe de serveurs :

• Le pourcentage d'appareils sur la mise à jour cumulative courante (le numéro de build de l'OS vous l'indique : Get-ComputerInfo -Property OsBuildNumber, OsVersion ou la valeur UBR dans HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion).
• Le nombre de jours depuis la dernière installation de mise à jour réussie.
• Les appareils qui ne se sont pas manifestés depuis 30 jours (souvent ceux qui finissent compromis).

Sur un hôte isolé :

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
(Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion").UBR

Les rapports Windows Update d'Intune, les rapports Autopatch, la conformité Configuration Manager ou Azure Update Manager donnent la vue d'ensemble du parc.

Liste de contrôle

• Outil de distribution choisi par classe d'appareils ; migration planifiée pour les architectures reposant uniquement sur WSUS
• Anneaux clients avec reports et échéances ; mise en pause désactivée pour les utilisateurs
• Groupes de correctifs serveurs avec fenêtres fixes ; hotpatch là où il est disponible
• Les vulnérabilités KEV / exploitées dans la nature déclenchent un processus accéléré
• Applications tierces, pilotes et micrologiciels inclus dans le périmètre
• Systèmes en fin de support inventoriés avec un plan de retrait
• Rapport mensuel de conformité par anneau et par groupe

Les correctifs sont le domaine le moins prestigieux de la cartographie du durcissement, et celui qui permet à tous les autres contrôles de tenir. Associez-les aux référentiels de sécurité pour que les nouveaux déploiements soient à la fois à jour et correctement configurés.