Mises à jour : la protection n°1, et comment les organiser sans gêner le travail

Les attaquants exploitent des failles de sécurité, y compris des failles corrigées depuis des mois. Les mises à jour restent donc la première des protections, mais elles interrompent le travail et finissent reportées. Voici ce qu'en disent l'ANSSI et Cybermalveillance.gouv.fr, ce qu'on oublie de mettre à jour, une organisation simple pour une TPE et que faire quand une mise à jour pose problème.

01Pourquoi c'est la première protection

« De nouvelles failles sont régulièrement découvertes au cœur des systèmes et logiciels », autant de portes d'entrée pour un attaquant, rappelle l'ANSSI dans son guide d'hygiène informatique (version de 2017, mesure 34). Elle demande d'appliquer les correctifs de sécurité « dans le mois qui suit leur publication par l'éditeur » : un mois au plus.

Son Panorama de la cybermenace 2025, publié le 11 mars 2026, montre pourquoi :

• l'exploitation de failles reste « l'un des principaux vecteurs de compromission », notamment sur les équipements de bordure, qui font la jonction avec internet : pare-feu, VPN, passerelles anti-spam ;
• environ 29 % des failles exploitées en 2025 l'auraient été le jour même de leur publication, ou avant, selon les sources citées par l'agence ;
• les failles anciennes servent encore : plus de 6 200 équipements en France restaient touchés fin 2025 par les principales failles exploitées depuis 2023. « Un équipement exposé et vulnérable finit toujours par être pris pour cible », résume l'ANSSI.

« Souvent ressentie comme une contrainte », la mise à jour reste « un acte essentiel pour se protéger », selon Cybermalveillance.gouv.fr (fiche sur les mises à jour, actualisée le 5 octobre 2026).

02Tout ce qu'il faut mettre à jour

Windows n'est qu'une partie du parc. Commencez par identifier vos appareils et logiciels, conseille Cybermalveillance.gouv.fr : c'est le rôle de l'inventaire du parc informatique.

Les oublis fréquents

• Le navigateur jamais fermé. Chrome télécharge ses mises à jour en arrière-plan, mais ne les installe qu'à sa relance (aide Google Chrome).
• La suite bureautique. Dans Word, Fichier > Compte > Options de mise à jour lance la mise à jour, ou la réactive si elle a été désactivée (support Microsoft).
• Le NAS et les caméras, avec leur propre logiciel interne (firmware) : voyez nos articles sur le NAS et sur l'accès à distance aux caméras.
• Le standard. 3CX recommande d'activer ses mises à jour automatiques, à l'heure choisie ; elles couvrent aussi le système Debian sur lequel il tourne (documentation 3CX).
• Les téléphones. En 2025, Apple, Samsung et Meta ont corrigé des failles activement exploitées qui, combinées, permettaient de compromettre un téléphone à distance sans action de son utilisateur, selon l'ANSSI.
• Le site web. Sous WordPress, la mise à jour automatique des extensions s'active extension par extension, ou par lot depuis l'écran des extensions (documentation WordPress). Le CERT-FR constate aussi des tentatives d'exploitation de failles de PHP, langage de nombreux sites, dont les versions antérieures à 8.2 ne sont plus maintenues (alerte du 21 octobre 2026, mise à jour le 27) : demandez votre version à l'hébergeur.

03Une organisation simple pour une TPE

Cybermalveillance.gouv.fr conseille aux entreprises de fixer des règles : où chercher les mises à jour, « comment et qui procède à la mise à jour », et à quel moment. En pratique :

1. Les postes en automatique, avec des heures d'activité. Windows ne redémarre pas seul pendant ces heures, de 8 h à 17 h par défaut, sur une plage de 18 heures au plus (Microsoft Learn). Calez-les sur vos horaires : Paramètres > Windows Update > Options avancées > Heures d'activité.
2. Les serveurs dans une fenêtre de maintenance, après sauvegarde. Cybermalveillance.gouv.fr conseille de profiter des périodes d'inactivité et de sauvegarder avant de mettre à jour. Pour les serveurs, Microsoft conseille, sur la même page, un réglage où Windows prévient avant d'installer et de redémarrer, au lieu de le faire seul.
3. Un poste test d'abord. L'ANSSI prévoit un « déploiement progressif sur le parc ». Microsoft publie ses mises à jour de sécurité le deuxième mardi du mois, vers 10 h heure du Pacifique, en début de soirée en France (Microsoft Learn, page du 29 septembre 2026) : les prochaines sortiront les 10 novembre et 8 décembre 2026, puis le 12 janvier 2027. Installez-les sur un poste le lendemain, puis sur les autres si rien ne coince.
4. Les failles activement exploitées en priorité. Les alertes du CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, sont « destinées à prévenir d'un danger immédiat », et un flux RSS permet de les suivre. Une alerte qui touche l'un de vos équipements passe avant le calendrier, comme les mises à jour « hors cycle » de Microsoft, à installer immédiatement.
5. Un responsable, une vérification mensuelle. Vous, un salarié ou votre prestataire : la personne désignée contrôle chaque mois que tout est à jour et note la date dans l'inventaire.

À retenir

Automatique partout où c'est possible, planifié là où un redémarrage gêne, et vérifié chaque mois par une personne désignée.

04Quand une mise à jour pose problème

1. Vérifiez si le problème est connu : la page Intégrité de la publication de Windows recense les problèmes connus de chaque version.
2. Désinstallez la mise à jour : Paramètres > Windows Update > Historique des mises à jour > Désinstaller des mises à jour. Toutes ne peuvent pas être retirées (FAQ Windows Update). Suspendez ensuite les mises à jour, 35 jours au plus, le temps d'un correctif (support Microsoft).
3. Revenez à un point de restauration. La restauration du système rétablit fichiers système, Registre et programmes sans toucher à vos fichiers personnels. Mais la protection du système « n'est pas activée par défaut » : activez-la.
4. Restaurez la sauvegarde si un serveur ne redémarre plus correctement.

Attention

Désinstaller ou suspendre une mise à jour rouvre la faille qu'elle corrigeait. C'est une solution d'attente, à lever dès que l'éditeur publie un correctif.

05Ce qui ne se met plus à jour

Quand le fabricant ne publie plus de correctifs, l'ANSSI demande d'isoler ces « composants obsolètes » du reste du système, et Cybermalveillance.gouv.fr de les séparer du réseau ou de les garder hors d'internet, en attendant leur remplacement. Pour Windows Server, Office et les autres logiciels Microsoft, voyez notre article sur les fins de support Microsoft.

06La checklist mensuelle

1. Postes et suite bureautique à jour, postes redémarrés, navigateurs relancés.
2. Serveurs : sauvegarde vérifiée, puis mises à jour dans la fenêtre prévue.
3. Box, pare-feu, VPN, NAS, caméras et standard : version vérifiée.
4. Téléphones : mises à jour automatiques activées.
5. Site web : extensions et version de PHP.
6. Alertes du CERT-FR relues, date du contrôle notée dans l'inventaire.

En résumé

• L'ANSSI demande d'appliquer les correctifs dans le mois, et une partie des failles est exploitée dès sa publication.
• Box, pare-feu, NAS, caméras, standard, téléphones et site web se mettent à jour, pas seulement Windows.
• Postes en automatique, serveurs après sauvegarde, un poste test d'abord, alertes du CERT-FR en priorité.
• Une mise à jour qui pose problème se retire temporairement ; ce qui n'est plus mis à jour s'isole, puis se remplace.

Pour confier ce suivi, découvrez notre support informatique : sa maintenance préventive comprend la mise à jour des systèmes, à distance ou sur site, du lundi au vendredi de 9 h à 18 h. Vous pouvez aussi nous contacter directement.