En juillet 2026, le traditionnel « Patch Tuesday » de Microsoft a battu un record : environ 622 vulnérabilités (CVE) corrigées en une seule fournée, soit près de trois fois le mois précédent, dont trois zero-days et des dizaines de failles critiques. Au-delà du chiffre, l'épisode illustre une réalité que toute équipe connaît : on ne peut pas tout patcher, tout de suite. La question n'est donc pas « comment tout corriger » mais « par quoi commencer ».
Un mois hors norme
Parmi les correctifs de juillet, plusieurs failles ont retenu l'attention : deux zero-days activement exploitées (dans SharePoint Server et dans les services de fédération Active Directory), une troisième publiquement divulguée, ainsi qu'une vulnérabilité notée 9,9 sur 10 permettant à un attaquant peu privilégié de compromettre l'hôte. Le volume, lui, sature les cycles de test et de déploiement : appliquer 600 correctifs ne se fait pas en un clic sans risque de régression.
Sources : Zero Day Initiative, BleepingComputer et Malwarebytes - voir les liens en bas d'article.
Le vrai problème n'est pas le patch, c'est la priorisation
Face à un tel flux, patcher dans l'ordre d'arrivée ou par score théorique conduit à l'épuisement des équipes et laisse passer l'essentiel. La bonne approche croise trois questions, que nous détaillons dans notre guide de la gestion des vulnérabilités :
- Suis-je exposé ? Le composant vulnérable est-il présent et accessible, et depuis où ?
- Est-ce exploité ? Une faille déjà utilisée dans des attaques réelles (catalogue KEV de la CISA) passe en tête, quel que soit son score.
- Quel impact métier ? Que protège ou expose le système concerné ?
Les trois zero-days activement exploitées de juillet devaient être traitées en urgence. Les 600 autres correctifs, eux, peuvent suivre un rythme soutenable, priorisé par le risque réel. Confondre urgence et exhaustivité, c'est la meilleure façon de ne rien traiter correctement.
Au-delà du correctif
Quand un patch n'est pas immédiatement déployable, d'autres leviers réduisent le risque : restreindre l'exposition (fermer un service, filtrer un accès), appliquer des contournements recommandés par l'éditeur, renforcer la surveillance sur les composants concernés. Et en amont, une veille active - CERT-FR, avis éditeurs, catalogue des vulnérabilités exploitées - permet de savoir, dès la publication, lesquelles exigent une réaction immédiate.
En résumé
Un mois à 622 CVE n'est pas une anomalie isolée : c'est la nouvelle normalité. Les organisations qui s'en sortent ne sont pas celles qui patchent le plus vite, mais celles qui trient le mieux : exposition, exploitation active, impact métier. La veille et la priorisation par le risque valent mieux qu'une course perdue d'avance vers le « zéro vulnérabilité ».
Kenawek vous aide à trier le flux de vulnérabilités, prioriser par le risque réel et suivre la remédiation. Parlons-en.