Dans environ 60 % des violations, un correctif était déjà disponible quand les attaquants se sont introduits. Cette conclusion provient du rapport de juillet 2026 de J.P. Morgan, « Patchmageddon », et elle déplace la question de l’existence d’un correctif vers le délai nécessaire à son déploiement.
Cette fenêtre se referme vite. Le même rapport décrit des outils d’IA capables de rétroconcevoir un correctif tout juste publié et de le transformer en exploit fonctionnel en quelques minutes. Chaque jour où un correctif disponible n’est pas déployé est un jour dont les attaquants peuvent profiter.
Pour les applications tierces gérées dans Microsoft Intune, une grande partie de ce temps est consacrée au packaging. Les équipes IT téléchargent le programme d’installation, créent le package, rédigent des règles de détection, testent et attribuent, puis recommencent pour chaque application et chaque version. Le résultat, c’est l’ application tardive des correctifs que personne n’avait prévue.
Voici à quelle vitesse la fenêtre d’exploitation se referme, où le packaging d’applications Intune ralentit les choses, et ce qu’il faut pour combler l’écart.
À quelle vitesse les attaquants exploitent désormais les nouvelles vulnérabilités
L’exploitation des vulnérabilités est désormais le moyen le plus courant pour les attaquants de s’introduire. Selon le rapport 2026 Verizon Data Breach Investigations Report, l’exploitation a représenté 31 % des accès initiaux lors des violations, contre 20 % un an plus tôt.
Bon nombre de ces attaques commencent immédiatement. Selon la Zero Day Clock, plus d’un quart des vulnérabilités nouvellement répertoriées comme exploitées au premier semestre 2026 étaient déjà attaquées le jour même de leur divulgation publique.
La gestion des correctifs n’a pas suivi le rythme. Verizon a constaté qu’il fallait aux organisations un délai médian de 43 jours pour corriger entièrement les vulnérabilités connues et exploitées, contre 32 jours auparavant, et qu’à peine un quart d’entre elles étaient entièrement corrigées au final.
Les anciennes vulnérabilités restent elles aussi d’actualité. En une seule semaine, à la fin du mois d’août 2026, la vulnérabilité type visée par les attaquants avait été rendue publique quatre ans plus tôt, selon la Zero Day Clock.
Un cycle de correctifs mesuré en semaines expose les applications tierces pendant la période la plus risquée. Une mise à jour qui n’est jamais déployée les laisse exposées pendant des années.
Pourquoi des correctifs disponibles ne sont pas appliqués
Si les correctifs existent, pourquoi autant restent-ils non déployés ? Selon le rapport 2026 sur le paysage de l'open source de TuxCare, 61 % des incidents de sécurité parmi les utilisateurs d'open source en entreprise impliquaient des correctifs disponibles mais jamais appliqués. Les contraintes liées aux temps d'arrêt étaient la raison la plus courante des retards, citée par 43 % des répondants.
Cette enquête portait sur les environnements open source, mais les mêmes causes apparaissent partout où les équipes IT déploient des mises à jour :
La peur de casser quelque chose. Une mise à jour qui perturbe une application critique pour l’activité ou force un redémarrage imprévu devient un incident à part entière. Quand les tests n’ont pas été effectués, attendre paraît plus sûr que déployer.
Trop peu de personnes ont les bonnes compétences. Conditionner correctement une application Win32 demande des connaissances spécialisées. Quand ces connaissances reposent sur une ou deux personnes, chaque mise à jour dépend de leur disponibilité.
Chaque mise à jour est un projet à part entière. Les fournisseurs tiers publient selon leur propre calendrier, et chaque version nécessite la même préparation avant d’être déployée. Le travail se regroupe rarement de façon nette, donc la file d’attente grandit plus vite qu’elle ne diminue.
Aucune preuve que les correctifs ont été déployés. Sans confirmation au niveau de l’appareil, l’IT ne peut pas savoir quels endpoints exécutent encore la version vulnérable, et les failles passent inaperçues jusqu’à ce que quelqu’un les recherche.
Là où le packaging d’applications Intune ralentit le déploiement des correctifs tiers
Bien qu’Intune gère bien les mises à jour Windows et Microsoft 365, les applications tierces sont plus difficiles à gérer. Enterprise App Management de Microsoft aide en proposant un catalogue d’applications Windows Microsoft et non Microsoft préparées, qu’Intune peut maintenir à jour. Cependant, le catalogue inclut uniquement les applications que Microsoft a préparées, et Microsoft ne garantit pas qu’une application demandée sera ajoutée.
Les applications en dehors du catalogue, les applications personnalisées et internes, ainsi que les locataires sans Enterprise App Management passent toujours par le processus Win32 standard.
Pour chaque nouvelle version, ce processus ressemble généralement à ceci :
Téléchargez le programme d’installation depuis le fournisseur et confirmez qu’il s’agit de la bonne version et de la bonne architecture.
Identifiez les commandes d’installation et de désinstallation silencieuses. Intune exige que les applications Win32 s’installent sans interaction utilisateur, donc quelqu’un doit déterminer quels commutateurs chaque programme d’installation prend en charge.
Empaquetez le programme d’installation sous forme de fichier .intunewin à l’aide de l’outil Microsoft Win32 Content Prep Tool.
Rédigez des règles de détection afin qu’Intune puisse confirmer que l’application s’est correctement installée.
Configurez le remplacement afin que la nouvelle version remplace l’ancienne.
Testez le package sur un appareil de rechange ou une machine virtuelle avant qu’il n’arrive aux utilisateurs.
Attribuez l’application aux bons groupes.
Vérifiez le déploiement et résolvez les problèmes sur les appareils qui ont échoué.
Puis l’éditeur publie une nouvelle mise à jour, et le cycle recommence. Multipliez ces étapes par chaque application tierce de l’environnement, puis par chaque version publiée, et le déploiement d’applications Win32 dans Intune devient un arriéré permanent. C’est dans cet arriéré que « available » se transforme en semaines.
Ce qu’un processus plus rapide de gestion des correctifs tiers nécessite
Le rapport de J.P. Morgan recommande aux organisations d'utiliser les dernières versions des logiciels et de raccourcir les délais de test et de déploiement des correctifs. Pour les applications tierces dans Intune, cela se résume à quelques exigences opérationnelles :
Un inventaire à jour des applications tierces. Chaque décision de déploiement de correctifs commence par savoir quelles applications et quelles versions fonctionnent sur quels appareils.
Sources d’installation fiables et vérifiées. Récupérer les programmes d’installation depuis des sources approuvées réduit le risque de déployer un package altéré ou malveillant.
Packaging automatisé. Les commandes d’installation et de désinstallation silencieuses, les règles de détection et le remplacement doivent être générés automatiquement pour chaque version, sans scripts écrits à la main.
Détection automatique des nouvelles versions. Lorsqu’un fournisseur publie une mise à jour, le nouveau package doit être créé sans attendre que quelqu’un remarque la publication.
Tests automatisés et analyse de sécurité avant le déploiement. Tester chaque build sur une machine propre élimine l’une des principales raisons pour lesquelles les équipes retardent les mises à jour.
Déploiement progressif. Un déploiement préalable auprès d’un groupe pilote permet de limiter l’impact si une mise à jour cause effectivement des problèmes.
Contrôles des utilisateurs finaux. Les reports, les invites de redémarrage et les délais de grâce permettent de déployer les mises à jour sans interrompre quelqu’un en plein travail.
Statut du déploiement et visibilité pour les audits. Les rapports par appareil confirment que chaque correctif a bien été appliqué et laissent une trace pour les audits.
Questions pour mesurer votre délai de déploiement des correctifs tiers
Avant de changer d’outils ou de processus, il est utile de savoir où en est votre équipe aujourd’hui. Ces questions montrent à quel point votre fenêtre d’exposition est réellement large :
Combien de jours s’écoulent entre une publication fournisseur et l’attribution dans Intune pour vos 10 principales applications tierces ? Ce chiffre correspond à votre fenêtre réelle de correctifs, et elle est souvent plus longue que les équipes ne l’imaginent.
Combien de personnes dans votre équipe peuvent empaqueter correctement une application Win32 ? Si la réponse est une ou deux, chaque mise à jour dépend de leur disponibilité.
Quand avez-vous reporté pour la dernière fois une mise à jour parce que les tests n’étaient pas terminés ? Des retards fréquents indiquent un goulot d’étranglement dans les tests, pas dans la planification.
Pouvez-vous prouver qu’un correctif a atteint chaque appareil ? Sans confirmation appareil par appareil, une mise à jour qui semble terminée peut encore laisser des terminaux exposés.
Comment le packaging agentique raccourcit le délai entre la publication et le déploiement
Le rapport de J.P. Morgan souligne un point facile à manquer parmi les avertissements : les mêmes outils d’IA utilisés pour trouver et exploiter des vulnérabilités peuvent aussi aider à les corriger. L’agentic packaging applique cette idée à la partie la plus lente de l’application de correctifs tiers.
Dans un workflow de packaging agentique, des agents IA prennent en charge les étapes répétitives du packaging d’applications Intune. Ils analysent l’installeur, déterminent les commandes d’installation et de désinstallation silencieuses, créent le package et génèrent la logique de détection. Chaque build est ensuite testé sur une machine propre, et les résultats sont transmis à un administrateur pour validation avant toute publication dans Intune.
Découvrez l’agentic packaging en action le 21 octobre
Un correctif déjà disponible n’est utile qu’à hauteur du temps nécessaire pour atteindre chaque appareil. Pour les applications tierces dans Intune, une grande partie de ce temps est consacrée au packaging.
Le packaging agentique élimine le travail répétitif de chaque publication, afin que les nouvelles versions puissent passer les tests puis être déployées progressivement sans rester en attente dans une file.
Splashtop organise un webinaire de 30 minutes, « Du packaging manuel au packaging agentique : simplifier le déploiement d’applications avec Microsoft Intune », le 21 octobre à 8h PT / 11h ET. Le Microsoft MVP Maxime Guillemin et Brandon Shopp, Head of Product chez Splashtop, expliqueront comment l’IA et les workflows agentiques réduisent les efforts et les erreurs de packaging, avec notamment un aperçu du packaging agentique en action.
