Le délai de grâce se compte désormais en jours, plus en semaines. Microsoft demande aux organisations de revoir sérieusement leur rythme de déploiement des correctifs Windows. L’éditeur estime qu’attendre plusieurs semaines après la publication d’un patch de sécurité offre un boulevard aux attaquants, désormais épaulés par l’IA pour disséquer les vulnérabilités et bricoler un exploit.
Dans une recommandation mise à jour cette semaine, Microsoft dit ne plus conseiller de différer les mises à jour de qualité de plus de trois jours. L’entreprise fixe aussi des délais d’installation à zéro ou un jour, avec une période de grâce plafonnée à deux jours. L’objectif est limpide : réduire au minimum la fenêtre entre la sortie d’un correctif et son arrivée sur les postes.
Points clés
- Microsoft recommande de ne pas différer les mises à jour Windows de plus de trois jours, avec grâce maximale de deux jours.
- L’IA permet aux attaquants de développer un exploit en quelques heures après la divulgation d’une faille.
- Microsoft utilise son propre système MDASH pour détecter plus tôt les vulnérabilités.
- Le Patch Tuesday de juin 2026 a corrigé un nombre record de vulnérabilités.
Des exploits en quelques heures, plus en quelques semaines
Le virage repose sur un constat de l’éditeur : une fois une vulnérabilité rendue publique, des outils d’IA aident les pirates à en comprendre le fonctionnement et à écrire un exploit en quelques heures. Le chronomètre ne se lit plus en semaines, comme dans les vieux guides de déploiement, mais en heures.
L’accélération joue dans les deux camps. Microsoft affirme utiliser ses propres systèmes de détection assistés par IA pour repérer plus tôt des failles dans Windows et ailleurs. La firme a notamment présenté MDASH, un système de recherche de vulnérabilités multi-modèles, capable d’examiner des composants critiques et de valider des failles potentielles.
Les volumes de correctifs suivent la cadence. En juin 2026, Microsoft a déjà servi un Patch Tuesday particulièrement chargé, avec un nombre de vulnérabilités corrigées présenté comme record dans plusieurs comptes rendus spécialisés. La société reconnaît que l’usage de l’IA par les attaquants raccourcit la durée pendant laquelle une faille reste exploitable après sa divulgation.
Nouvelles règles pour Windows Update
La consigne vise d’abord les équipes informatiques qui pilotent les mises à jour via des politiques de déploiement. Le report des mises à jour de qualité doit rester sous trois jours. Les délais d’installation doivent être réglés sur zéro ou un jour, et la fenêtre de grâce ne doit pas dépasser deux jours.
Concrètement, il faut ranger au placard les stratégies qui repoussaient l’installation d’une ou deux semaines, voire davantage. Microsoft juge qu’une telle attente laisse trop de marge à des acteurs capables d’automatiser l’analyse d’un correctif frais, puis d’en extraire un code d’exploitation avant que les parcs ne soient à jour.
« Vous ne devriez pas retarder les mises à jour Windows de plus de trois jours », indique Microsoft dans sa documentation relayée par les sites spécialisés.
Le message aux administrateurs est nettement moins permissif qu’avant. Pour les correctifs de sécurité Windows, la tolérance se mesure désormais en jours, et gare à ceux qui laissent traîner : entre le patch et l’exploit, la course de vitesse est déjà lancée.
