Module 5 · 5.1
Français
Mises à jour et logiciels obsolètes
Module 5: Appareils, logiciels et réseau · Temps de lecture : 10 minutes
Objectif pédagogique : après cette leçon, vous saurez mettre en place une politique de mise à jour pour les systèmes d'exploitation, les applications, les plugins, les routeurs et autres appareils, et expliquer ce que signifie la « fin de support » et ce qu'il faut faire dans ce cas.
Notions clés : vulnérabilité, correctif (patch), zero-day, mises à jour automatiques, firmware, plugin, inventaire, fin de support (end of life), périphérique en périphérie de réseau (edge device)
Une mise à jour, c'est un verrou que vous ajoutez
Les logiciels contiennent des erreurs. Certaines sont simplement gênantes (un bouton qui ne fonctionne pas), d'autres constituent une vulnérabilité : une faille permettant à un attaquant de faire quelque chose qui n'était pas prévu, comme se connecter sans mot de passe ou faire exécuter son propre code. L'éditeur corrige cela avec un correctif (patch), qui vous parvient sous forme de mise à jour.
Le problème, c'est l'ordre des événements. Dès qu'une mise à jour sort, la vulnérabilité devient en pratique publique. Les attaquants comparent l'ancienne et la nouvelle version, repèrent ce qui a été corrigé et en déduisent une attaque. Ensuite, ils scannent automatiquement l'ensemble d'internet à la recherche des appareils qui n'ont pas encore reçu la mise à jour. C'est exactement l'attaque opportuniste décrite en leçon 1.1 : ils ne vous cherchent pas vous en particulier, ils cherchent tous ceux qui sont en retard.
Un zero-day est une vulnérabilité déjà exploitée avant même qu'un correctif existe. Vous ne pouvez pas faire grand-chose, si ce n'est suivre les recommandations de l'éditeur et limiter les dégâts (sauvegardes, droits minimaux). Mais l'immense majorité des intrusions chez les petites entreprises se fait via des vulnérabilités pour lesquelles le correctif était disponible depuis longtemps.
Cybermalveillance.gouv.fr, qui accompagne les entreprises sur ces sujets, constate régulièrement qu'une part importante des petites entreprises n'active pas les mises à jour automatiques sur l'ensemble de leurs appareils connectés à internet. Le conseil est simple : ne tardez pas à mettre à jour, et activez les mises à jour automatiques partout où c'est possible.
Que possédez-vous réellement ? L'inventaire
Vous ne pouvez pas mettre à jour ce que vous avez oublié. La plupart des entreprises pensent, pour les mises à jour, aux ordinateurs portables et aux téléphones, mais les appareils les plus dangereux sont souvent les plus discrets :
| Type | Exemples | Comment la mise à jour se fait en général |
|---|---|---|
| Ordinateurs et téléphones | Windows, macOS, Linux, Android, iOS | Automatiquement, si vous l'activez et ne repoussez pas indéfiniment le redémarrage |
| Programmes et applications | Navigateur, suite bureautique, lecteur pdf, logiciel de comptabilité | Souvent automatique; les logiciels installés séparément parfois non |
| Site web | CMS, plugins, thèmes, version PHP | Partiellement automatique; plugins et thèmes souvent manuels |
| Équipement réseau | Routeur, modem, bornes wifi, pare-feu, serveur VPN | Firmware, souvent manuel ou via le fournisseur |
| Périphériques en périphérie de réseau | NAS, imprimante réseau, caméra IP, sonnette connectée, système d'alarme, caisse enregistreuse | Firmware, souvent manuel, parfois jamais |
| Services cloud | Messagerie, comptabilité, plateforme de boutique en ligne | Le fournisseur effectue la mise à jour; vous gérez les paramètres |
Les appareils directement connectés à internet et accessibles depuis l'extérieur (routeur, serveur VPN, NAS avec accès à distance, caméra) sont appelés périphériques en périphérie de réseau (edge devices). Ce sont les cibles les plus fréquentes, car un attaquant peut les atteindre sans qu'un collaborateur ait besoin de cliquer sur quoi que ce soit. Un exemple anonymisé : un cabinet comptable avait un NAS configuré en « accès depuis n'importe où ». L'éditeur a publié une mise à jour de sécurité, le cabinet ne l'a pas installée, et quelques semaines plus tard, tous les fichiers du NAS étaient chiffrés. Personne n'avait cliqué sur quoi que ce soit.
Une politique de mise à jour en cinq règles
Une politique n'a pas besoin d'être un document de dix pages. Pour une petite entreprise, ces règles suffisent :
- Automatique partout où c'est possible. Activez les mises à jour automatiques pour les systèmes d'exploitation, les navigateurs, les applications, et si possible pour le CMS, les plugins et le firmware du routeur et du NAS.
- Le redémarrage fait partie du processus. De nombreuses mises à jour ne prennent effet qu'après un redémarrage. Convenez que chacun redémarre au moins une fois par semaine, et ne repoussez pas un redémarrage pendant des semaines.
- Les périphériques en périphérie de réseau en premier. Pour les appareils accessibles depuis l'extérieur : vérifiez vous-même s'il existe des mises à jour, par exemple une fois par mois, et installez une mise à jour de sécurité dans les quelques jours qui suivent. Si l'éditeur ou l'ANSSI signale une exploitation active, faites-le le jour même.
- Un responsable par appareil. Dans l'inventaire, chaque ligne indique qui en assure la mise à jour : vous-même, un collaborateur, votre prestataire informatique ou votre créateur de site. Si personne n'est désigné, personne ne le fait.
- Ce qui n'est plus utile disparaît. Un plugin que vous n'utilisez pas, un vieil ordinateur portable rangé dans une armoire mais toujours connecté au réseau, un site de test sur un sous-domaine : supprimez-le, vous n'aurez ainsi plus besoin de le mettre à jour.
Vous hésitez à faire une mise à jour de peur qu'elle casse quelque chose ? Faites d'abord une sauvegarde (module 6), puis mettez à jour. Ne pas installer une mise à jour par crainte de problèmes constitue presque toujours le risque le plus grand.
Fin de support : quand il n'y a plus de mises à jour
Chaque version de logiciel ou de firmware a une date de fin. Après celle-ci, l'éditeur ne publie plus de mises à jour de sécurité. C'est ce qu'on appelle la fin de support (end of life, EOL). L'appareil continue de fonctionner normalement, et c'est bien là le piège : rien ne se voit, alors que chaque nouvelle vulnérabilité reste ouverte pour toujours.
Exemples :
- Windows 10. Le support normal s'est terminé le 14 octobre 2025. Après cette date, seules des mises à jour de sécurité restent disponibles via le programme ESU de Microsoft, avec des dates de fin variables selon les situations. Consultez le site de Microsoft pour savoir ce qui s'applique à vos appareils, et planifiez le passage vers une version prise en charge ou un autre appareil.
- PHP et autres langages de site web. Chaque version de PHP ne reçoit des mises à jour de sécurité que pendant quelques années. Si votre site tourne sur une version ancienne, le serveur peut être sécurisé, mais pas votre site.
- Routeurs, NAS et caméras. Les appareils bon marché ne reçoivent parfois des mises à jour de firmware que pendant quelques années, parfois jamais. Il est recommandé de vérifier avant l'achat la durée de support annoncée par le fabricant, et de remplacer les appareils qui ne reçoivent plus de mises à jour.
- Plugins et thèmes. Un plugin dont l'éditeur a cessé son activité ne recevra plus de correctifs. Cherchez un remplaçant.
Si vous ne pouvez pas remplacer immédiatement un appareil, limitez le risque : déconnectez-le d'internet, placez-le dans un réseau séparé (leçon 5.3), et ne lui donnez pas accès à des données importantes.
Mettre à jour en toute sécurité : uniquement par la voie officielle
Les attaquants détournent aussi le mot « mise à jour ». Une fenêtre pop-up sur un site web disant « Votre navigateur est obsolète, téléchargez la mise à jour ici » ou un e-mail disant « installez la mise à jour de sécurité en pièce jointe » est presque toujours un logiciel malveillant. Les véritables mises à jour passent par le système d'exploitation, le magasin d'applications, la fonction de mise à jour intégrée au programme lui-même ou le site officiel de l'éditeur. Jamais via un lien dans un e-mail ou une fenêtre pop-up sur un site quelconque.
En pratique : à quoi cela ressemble
Avec une offre d'hébergement utilisant DirectAdmin, comme chez WebOké, vous choisissez la version PHP de votre site via Select PHP version. Si vous souhaitez d'abord faire une sauvegarde avant de mettre à jour votre site ou vos plugins, c'est possible par exemple dans Installatron avec le bouton Back-up, ce qui vous permet de restaurer la version précédente en cas de problème. Chez d'autres fournisseurs, le fonctionnement est comparable : cherchez « version PHP » ainsi que la fonction de sauvegarde ou d'environnement de test (staging) de votre CMS.
Pour les ordinateurs et téléphones, la fonction de mise à jour se trouve dans les paramètres du système d'exploitation. Pour votre routeur, consultez la page d'administration (l'adresse figure dans le manuel ou sur l'étiquette du routeur) ou l'application de votre fournisseur.
Résumé
- Une mise à jour referme une vulnérabilité connue; une fois publiée, les attaquants scannent internet pour repérer qui est en retard.
- Faites un inventaire, y compris du routeur, du NAS, de l'imprimante, des caméras, du site web et des plugins, avec un responsable par ligne.
- Mise à jour automatique partout où c'est possible, le redémarrage fait partie du processus, les périphériques en périphérie de réseau en premier et rapidement.
- Fin de support signifie : plus de mises à jour de sécurité. Remplacez, ou déconnectez et isolez.
- Mises à jour uniquement par la voie officielle, jamais via une fenêtre pop-up ou un e-mail.
Quiz
Exercice
Exercice D5.1 : Votre inventaire des mises à jour. Établissez une liste de tous vos appareils et logiciels, y compris le routeur, le NAS, l'imprimante, les caméras, le site web et les plugins. Notez pour chaque ligne la version, si les mises à jour automatiques sont activées, qui en est responsable et si elle est encore prise en charge. Mettez à jour ce qui est en retard et répondez aux questions de réflexion.
Exercice D5.1: Votre inventaire des mises à jour
Voici comment procéder : (1) Créez un tableau avec les colonnes : appareil ou logiciel, type (ordinateur, téléphone, programme, site web, réseau, périphérique, service cloud), version, mises à jour automatiques (oui/non/impossible), propriétaire (qui l'utilise), encore pris en charge (oui/non/inconnu), accessible depuis l'extérieur (oui/non). Un modèle à télécharger (csv ou tableur) se trouve avec l'exercice. (2) Parcourez votre bureau et vos postes de télétravail. N'oubliez pas : routeur et modem, points wifi, NAS, imprimante réseau, caméras IP, sonnette ou alarme connectée, système de caisse, le vieil ordinateur portable dans le placard, votre site web avec CMS, extensions et thèmes, la version PHP de votre offre d'hébergement. (3) Pour chaque appareil, consultez le site du fabricant pour savoir jusqu'à quand il reçoit des mises à jour. Pour Windows 10 : consultez la page du cycle de vie de Microsoft pour savoir ce qui s'applique à vos appareils. (4) Activez les mises à jour automatiques partout où c'est possible. Installez les mises à jour en attente, en commençant par les périphériques. Redémarrez ensuite. (5) Marquez tout ce qui ne reçoit plus de mises à jour et décidez pour chaque ligne : remplacer (avec une date), déconnecter d'internet, ou isoler sur un réseau séparé (leçon 5.3).
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké; chez d'autres fournisseurs, le fonctionnement est comparable.
- Guide DirectAdmin 14.1: Choisir la version de PHP (Select PHP version)
- Guide DirectAdmin 13.6: Créer et restaurer des sauvegardes dans Installatron
- Cybermalveillance.gouv.fr, ressources pour les entreprises : https://www.cybermalveillance.gouv.fr/
- ANSSI, bonnes pratiques de mise à jour et gestion des correctifs : https://cyber.gouv.fr/
- ANSSI, mesures de sécurité de base pour les objets connectés : https://cyber.gouv.fr/
- Microsoft, cycle de vie de Windows 10 : https://learn.microsoft.com/fr-fr/lifecycle/products/windows-10-home-and-pro