Mises à jour et logiciels obsolètes

Module 5: Appareils, logiciels et réseau · Temps de lecture : 10 minutes

Objectif pédagogique : après cette leçon, vous saurez mettre en place une politique de mise à jour pour les systèmes d'exploitation, les applications, les plugins, les routeurs et autres appareils, et expliquer ce que signifie la « fin de support » et ce qu'il faut faire dans ce cas.
Notions clés : vulnérabilité, correctif (patch), zero-day, mises à jour automatiques, firmware, plugin, inventaire, fin de support (end of life), appareil en périphérie (edge device)

Une mise à jour, c'est une serrure que l'on ajoute

Les logiciels comportent des erreurs. Certaines sont simplement gênantes (un bouton qui ne fonctionne pas), d'autres constituent une vulnérabilité : une faille permettant à un attaquant de faire quelque chose qui n'était pas prévu, comme se connecter sans mot de passe ou faire exécuter son propre code. L'éditeur corrige cela avec un correctif, qui vous parvient sous la forme d'une mise à jour.

Le problème vient de l'ordre des événements. Dès qu'une mise à jour sort, la vulnérabilité devient en pratique publique. Les attaquants comparent l'ancienne et la nouvelle version, repèrent ce qui a été corrigé et construisent une attaque à partir de cela. Ensuite, ils scannent automatiquement l'ensemble d'Internet à la recherche d'appareils qui n'ont pas encore installé la mise à jour. C'est exactement l'attaque opportuniste décrite dans la leçon 1.1 : ils ne vous visent pas vous en particulier, ils visent tous ceux qui ont du retard.

Un zero-day est une vulnérabilité déjà exploitée avant qu'un correctif n'existe. Vous ne pouvez pas faire grand-chose dans ce cas, à part suivre les recommandations de l'éditeur et limiter les dégâts (sauvegardes, droits minimaux). Mais la grande majorité des intrusions chez les petites entreprises passe par des vulnérabilités pour lesquelles le correctif était disponible depuis longtemps.

Le NCSC néerlandais (Nationaal Cyber Security Centrum), via son ancien Digital Trust Center, a constaté en 2024 dans sa CyberVeilig Check que plus d'une petite entreprise sur trois (36 %) n'avait pas activé les mises à jour automatiques sur tous ses appareils connectés à Internet. Le conseil du NCSC néerlandais est simple : n'attendez pas pour mettre à jour, et activez les mises à jour automatiques partout où c'est possible.

Que possédez-vous réellement ? L'inventaire

Vous ne pouvez pas mettre à jour ce que vous avez oublié. La plupart des entreprises pensent, en matière de mises à jour, aux ordinateurs portables et aux téléphones, mais les appareils les plus dangereux sont souvent les plus discrets :

Les appareils directement connectés à Internet et accessibles depuis l'extérieur (routeur, serveur VPN, NAS avec accès à distance, caméra) sont appelés appareils en périphérie (edge devices). Ce sont les cibles les plus fréquentes, car un attaquant peut les atteindre sans qu'un employé n'ait besoin de cliquer sur quoi que ce soit. Un exemple anonymisé : un cabinet comptable avait un NAS configuré avec un « accès depuis n'importe où ». L'éditeur a publié une mise à jour de sécurité, le cabinet ne l'a pas installée, et quelques semaines plus tard, tous les fichiers du NAS étaient chiffrés. Personne n'avait cliqué sur quoi que ce soit.

Une politique de mise à jour en cinq règles

Une politique n'a pas besoin d'être un document de dix pages. Pour une petite entreprise, ces règles suffisent :

1. Automatique partout où c'est possible. Activez les mises à jour automatiques pour les systèmes d'exploitation, les navigateurs, les applications, et, dans la mesure du possible, pour le CMS, les plugins et le firmware du routeur et du NAS.
2. Le redémarrage fait partie du processus. De nombreuses mises à jour ne prennent effet qu'après un redémarrage. Convenez que chacun redémarre au moins une fois par semaine, et ne reportez pas un redémarrage pendant des semaines.
3. Les appareils en périphérie en priorité. Pour les appareils accessibles depuis l'extérieur : vérifiez vous-même s'il existe des mises à jour, par exemple une fois par mois, et installez une mise à jour de sécurité dans les quelques jours qui suivent. Si l'éditeur ou le NCSC néerlandais signale une exploitation active, faites-le le jour même.
4. Un responsable par appareil. Sur l'inventaire, chaque ligne indique qui effectue la mise à jour : vous-même, un collègue, votre prestataire informatique ou votre développeur web. Si personne n'est indiqué, personne ne le fera.
5. Ce qui n'est plus nécessaire disparaît. Un plugin que vous n'utilisez pas, un vieux portable dans un placard mais toujours connecté au réseau, un site de test sur un sous-domaine : supprimez-le, vous n'aurez ainsi plus besoin de le mettre à jour.

Vous hésitez à mettre à jour de peur de casser quelque chose ? Faites d'abord une sauvegarde (module 6), puis mettez à jour. Ne pas installer une mise à jour par crainte de problèmes constitue presque toujours le risque le plus grand.

Fin de support : quand il n'y a plus de mises à jour

Chaque version d'un logiciel ou d'un firmware a une date de fin. Après cette date, l'éditeur ne publie plus de mises à jour de sécurité. C'est ce qu'on appelle la fin de support (end of life, EOL). L'appareil continue de fonctionner normalement, et c'est précisément ce qui est trompeur : personne ne remarque rien, alors que chaque nouvelle vulnérabilité reste définitivement ouverte.

Exemples :

• Windows 10. Le support normal s'est terminé le 14 octobre 2025. Ensuite, seules des mises à jour de sécurité restent disponibles via le programme ESU de Microsoft, avec des dates de fin variables selon les situations. Consultez le site de Microsoft pour savoir ce qui s'applique à vos appareils, et planifiez le passage à une version prise en charge ou à un autre appareil.
• PHP et autres langages de site web. Chaque version de PHP bénéficie de quelques années de mises à jour de sécurité. Si votre site tourne sur une ancienne version, le serveur est peut-être sécurisé, mais pas votre site.
• Routeurs, NAS et caméras. Les appareils bon marché ne reçoivent parfois que quelques années de mises à jour de firmware, parfois jamais. Le NCSC néerlandais recommande de vérifier avant l'achat la durée pendant laquelle le fabricant prend en charge l'appareil, et de remplacer les appareils qui ne reçoivent plus de mises à jour.
• Plugins et thèmes. Un plugin dont l'éditeur a cessé son activité ne reçoit plus de corrections. Cherchez une alternative.

Si vous ne pouvez pas remplacer immédiatement un appareil, limitez le risque : déconnectez-le d'Internet, placez-le sur un réseau séparé (leçon 5.3), et ne lui donnez pas accès à des données importantes.

Mettre à jour en sécurité : uniquement par la voie officielle

Les attaquants détournent aussi le mot « mise à jour ». Une fenêtre pop-up sur un site web « Votre navigateur est obsolète, téléchargez la mise à jour ici » ou un e-mail « installez la mise à jour de sécurité en pièce jointe » est presque toujours un logiciel malveillant. Les véritables mises à jour passent par le système d'exploitation, la boutique d'applications, la fonction de mise à jour intégrée au programme lui-même ou le site web de l'éditeur. Jamais par un lien dans un e-mail ou une fenêtre pop-up sur un site quelconque.

En pratique : à quoi cela ressemble

Avec un hébergement DirectAdmin, comme chez WebOké, vous choisissez la version PHP de votre site via Select PHP version. Si vous souhaitez d'abord faire une sauvegarde avant de mettre à jour votre site ou vos plugins, cela est par exemple possible dans Installatron avec le bouton Back-up, après quoi vous pouvez restaurer la version précédente en cas de problème. Chez d'autres fournisseurs, le fonctionnement est comparable : recherchez « version PHP » ainsi que la fonction de sauvegarde ou de préproduction (staging) de votre CMS.

Pour les ordinateurs et les téléphones, la fonction de mise à jour se trouve dans les paramètres du système d'exploitation. Pour votre routeur, consultez la page d'administration (l'adresse figure dans le manuel ou sur l'étiquette du routeur) ou l'application de votre fournisseur.

Résumé

• Une mise à jour comble une vulnérabilité connue ; dès sa sortie, les attaquants scannent Internet à la recherche de ceux qui ont du retard.
• Dressez un inventaire, y compris du routeur, du NAS, de l'imprimante, des caméras, du site web et des plugins, avec un responsable par ligne.
• Mettez à jour automatiquement partout où c'est possible, le redémarrage fait partie du processus, les appareils en périphérie en priorité et rapidement.
• La fin de support signifie : plus de mises à jour de sécurité. Il faut remplacer l'appareil, ou le déconnecter et l'isoler.
• Mises à jour uniquement par la voie officielle, jamais via une fenêtre pop-up ou un e-mail.

Quiz

Exercice

Exercice D5.1 : Votre inventaire des mises à jour. Dressez une liste de tous vos appareils et logiciels, y compris le routeur, le NAS, l'imprimante, les caméras, le site web et les plugins. Notez pour chaque ligne la version, si les mises à jour automatiques sont activées, qui en est responsable et si le support est toujours assuré. Mettez à jour ce qui a du retard et répondez aux questions de réflexion.

Pour aller plus loin

Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Guide DirectAdmin 14.1: Choisir la version de PHP (Select PHP version)
• Guide DirectAdmin 13.6: Créer et restaurer des sauvegardes dans Installatron
• NCSC (Pays-Bas), Une petite entreprise sur trois ne fait pas de mises à jour automatiques : https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• NCSC (Pays-Bas), Mettre en place une gestion des correctifs : https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• NCSC (Pays-Bas), Mesures de sécurité de base pour les appareils connectés : https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, cycle de vie de Windows 10 : https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro