Trois jours avant exploitation : une nouvelle définition de la remédiation rapide

Les attaquants n’attendent plus votre prochaine fenêtre de maintenance. Le dernier rapport trimestriel Rapid7 sur le paysage des menaces révèle que les vulnérabilités à haut risque (CVSS 7 à 10) sont exploitées en moyenne trois jours après leur divulgation publique, et que 71 % des exploitations suivies ont eu lieu durant la première semaine. Si votre programme de remédiation fonctionne sur un cycle de 30 jours, la fenêtre d’exploitation d’une faille de ce type peut être déjà refermée bien avant que votre ticket n’arrive en haut de la pile.

C’est un problème de sécurité, mais pour un RSSI ou un responsable conformité, c’est aussi un problème de responsabilité. Les réglementations et les contrats ont toujours exigé que les organisations corrigent les failles de manière « rapide ». Pendant des années, « rapide » signifiait ce qu’un auditeur acceptait. Désormais, ce sont les attaquants qui définissent ce terme, et c’est dans cet écart que s’accumulent les risques juridiques, les échecs d’audit et les coûts liés aux violations.

Nous allons examiner en détail les conclusions de Rapid7, car chaque détail compte. Nous distinguons ce que montrent les données de ce qu’elles ne montrent pas, nous faisons le lien avec les normes qui encadrent la remédiation et nous analysons ce que cela implique pour les systèmes qui traitent vos données les plus sensibles. L’objectif n’est pas de vous dire de corriger plus vite — vous le savez déjà. L’objectif est de vous aider à bâtir un programme capable de prouver, preuves à l’appui, que ses décisions face à l’exposition étaient défendables.

Points clés à retenir

1. La rapidité des attaquants définit désormais la notion de « rapide ».

Avec une exploitation en moyenne trois jours après la divulgation pour les failles critiques suivies, une fenêtre de remédiation de plusieurs semaines devient difficile à justifier.

2. Les failles les plus dangereuses n’ont pas besoin de vos utilisateurs.

Sur 43 vulnérabilités critiques nouvellement exploitées, 34 ne nécessitaient ni authentification ni interaction utilisateur : la formation et l’hygiène des identifiants ne compensent donc pas une remédiation lente.

3. L’exposition se mesure en jours, pas en adjectifs.

Les conseils d’administration et les auditeurs réagissent à un appétit pour le risque exprimé en jours d’exposition — un chiffre crédible uniquement si vos journaux peuvent le prouver.

4. La pression des ransomwares se déplace vers le secteur public et ses fournisseurs.

Les incidents dans le secteur public parmi les 10 premiers pays déclarants sont passés de 48 à 55, ce qui augmente les enjeux pour tout sous-traitant qui échange des données avec des organismes publics.

5. Les systèmes d’échange de données exposés à l’externe doivent être prioritaires.

Les plateformes de transfert de fichiers, de messagerie sécurisée et de transfert sécurisé de fichiers sont conçues pour être accessibles sur Internet : elles doivent donc figurer en tête de toute file de correctifs basée sur l’exposition.

Ce que Rapid7 a mesuré, et ce qu’il n’a pas mesuré

Avant de fonder une politique sur une statistique, il faut en comprendre les limites. Rapid7 a établi ses conclusions à partir de ses propres services de détection et réponse managée, d’intelligence sur les vulnérabilités et de télémétrie sur les menaces. C’est un jeu de données riche, mais il s’agit de données d’un fournisseur, et non d’un échantillon aléatoire de toutes les organisations du monde.

Les chiffres mis en avant sont également cumulatifs. Rapid7 indique que 71 % des exploitations suivies ont eu lieu dans les 7 jours suivant la divulgation, 80 % dans les 14 jours et 90 % dans les 30 jours. Le chiffre de 3 jours est une moyenne sur une population restreinte, à savoir les vulnérabilités critiques effectivement exploitées durant le trimestre. Cela ne signifie pas que chaque faille critique est attaquée sous 72 heures. La plupart ne sont jamais exploitées.

L’échelle compte également. Rapid7 a suivi 43 vulnérabilités critiques nouvellement exploitées au cours du trimestre, soit une baisse de 7 % par rapport au trimestre précédent et une hausse de 19 % sur un an. Quarante-trois, c’est un petit nombre, et les petits échantillons varient fortement. Une seule campagne active peut faire varier la moyenne d’une journée.

Alors pourquoi prendre ces résultats au sérieux ? Parce que la tendance concorde avec d’autres sources indépendantes. Dans sa FAQ, CISA indique que, parmi les vulnérabilités exploitées qu’elle suit, 42 % l’ont été le jour même de leur divulgation, 50 % sous deux jours et 75 % sous 28 jours. Deux collecteurs de données très différents, un même constat : l’exploitation est concentrée sur les premiers jours, et c’est la première semaine qui décide de l’essentiel des dégâts.

Pourquoi « rapide » devient un chiffre que les auditeurs vont exiger

L’expression « dans un délai raisonnable » revient dans tous les référentiels de sécurité, mais elle est rarement associée à un chiffre. NIST SP 800-171 Rev 2, exigence 3.14.1, demande d’« identifier, signaler et corriger les failles système dans un délai raisonnable ». Mais il ne définit pas ce délai en nombre de jours. Les sous-traitants qui manipulent des informations non classifiées contrôlées doivent appliquer cette exigence via DFARS 252.204-7012, ce qui signifie que chaque fournisseur de la défense s’engage sur une norme dont le terme clé reste à interpréter.

C’est dans cette interprétation que réside le risque. Lorsqu’un auditeur, un donneur d’ordre ou un régulateur vous demande si votre remédiation était rapide, il va chercher un point de comparaison. De plus en plus, ce point de référence sera le délai d’action des attaquants, comme le documente Rapid7. Une organisation qui met six semaines à corriger une faille activement exploitée aura du mal à justifier ce délai si les données publiques montrent que la majorité des attaques surviennent dans les sept premiers jours.

Il existe un repère chiffré clair. La directive opérationnelle contraignante 22-01 de la CISA impose aux agences fédérales civiles de corriger les vulnérabilités répertoriées dans son catalogue de failles exploitées sous deux semaines pour les CVE attribuées en 2021 ou après. Cette directive ne s’applique pas aux entreprises privées — il est important de le préciser. Mais la CISA encourage toutes les organisations à prioriser ce catalogue, et ce délai de deux semaines, émanant de l’agence cyber du gouvernement, est le genre de chiffre qu’un auditeur retiendra.

C’est pourquoi les responsables conformité doivent traiter la rapidité de remédiation comme une question de preuve. Vérifier votre niveau de conformité NIST 800-171 revient à se demander si vous pouvez démontrer, pour chaque faille exploitée ayant touché votre environnement, à quel moment vous en avez eu connaissance, quand vous avez décidé, et quand vous avez corrigé. Les équipes qui travaillent sur la conformité CMMC 2.0 et la protection des CUI seront les premières concernées, mais la logique s’applique à tous les secteurs réglementés. Une correction rapide sans trace écrite est difficile à prouver. Une correction lente, mais documentée avec une justification basée sur le risque, reste défendable.

Le secteur accuse déjà un retard

Si les attaquants agissent en quelques jours, à quelle vitesse réagissent les défenseurs ? Le rapport Verizon 2026 Data Breach Investigations apporte une réponse préoccupante. Il montre que l’exploitation de vulnérabilités est devenue le principal vecteur d’accès initial, à 31 % des violations, contre 20 % dans l’édition précédente. Il indique aussi que seulement 26 % des vulnérabilités du catalogue CISA ont été totalement corrigées (contre 38 % auparavant), et que le délai médian de remédiation est passé de 32 à 43 jours.

Mettez ces chiffres en regard de ceux de Rapid7, et le problème devient évident. Les attaquants agissent en trois jours environ. Les défenseurs, en médiane, mettent quarante-trois jours. Même en étant indulgent avec les deux chiffres, il reste un écart de plusieurs semaines pendant lesquelles une faille connue et exploitée reste ouverte sur des systèmes déjà ciblés par des scans.

Attention toutefois à cette comparaison : les deux jeux de données mesurent des choses différentes avec des méthodes différentes. Verizon compte les violations et la remédiation sur un large éventail d’organisations, tandis que Rapid7 suit le timing d’exploitation pour un ensemble précis de vulnérabilités. L’idée n’est pas de diviser un chiffre par l’autre, mais de constater que les deux courbes divergent, et rien n’indique qu’elles vont se rapprocher spontanément.

Voici la conséquence inconfortable pour les équipes de gouvernance : un délai médian de 43 jours signifie que la moitié des organisations sont plus lentes encore. Si vous ne savez pas où vous vous situez par rapport à la médiane, vous ne pourrez pas répondre à un administrateur qui vous demande si l’entreprise est en avance ou en retard sur ses pairs. Mesurer votre propre délai de remédiation, par gravité et par exposition, est le point de départ de toute discussion à venir.

Le problème du « zéro clic » et pourquoi 34 sur 43 sont les plus préoccupantes

Sur les 43 vulnérabilités nouvellement exploitées suivies par Rapid7, 34 ne nécessitaient ni authentification ni interaction utilisateur. Cela représente 79 % des failles exploitées. Rapid7 qualifie cette combinaison de « Graal » pour les attaquants, et le terme est approprié. Pas de mail de phishing à rédiger, pas de mot de passe à voler, pas d’employé à piéger : l’attaquant envoie une requête à un service exposé et accède directement au système.

Ce constat remet en cause une croyance confortable. Beaucoup de programmes de sécurité investissent massivement dans la sensibilisation, l’authentification multifactorielle et les contrôles d’identité, et ces investissements restent utiles. Mais aucun ne protège contre une faille non authentifiée sur un service exposé à Internet. La défense pour ce type de vulnérabilité est simple et peu spectaculaire : il faut savoir que l’actif existe, qu’il est exposé, qu’il est vulnérable, et le corriger ou l’isoler avant qu’un attaquant ne le trouve.

Rapid7 met aussi en garde contre les étiquettes de gravité. Dans son analyse, les failles de contournement d’authentification affichaient le taux d’exploitation le plus élevé des types d’impact étudiés (3 sur 191, soit 1,6 % environ). Les failles d’exécution de code à distance étaient exploitées à un taux plus faible (18 sur 2082, soit 0,6 %). Aucun de ces taux n’est élevé. Cela montre que la plupart des vulnérabilités ne sont jamais attaquées, et qu’il vaut mieux prioriser l’exposition réelle que courir après chaque score élevé.

Attention à ne pas mélanger ce chiffre de 79 % avec d’autres pourcentages du rapport. Les 79 % concernent les failles exploitées. Rapid7 détaille séparément la part de tous les CVE suivis qui sont distants, non authentifiés ou « zéro clic » — il s’agit d’une autre population. Mélanger les deux produit un titre qui ne correspond plus à la source, et c’est exactement le genre d’erreur qu’un administrateur ou un auditeur attentif remarquera.

Pour les décideurs, la leçon pratique concerne la priorisation de l’attention. Rapid7 note que les nouvelles vulnérabilités CVSS 7 à 10 ont augmenté de 133 % sur un an, et la disponibilité de preuves de concept de 86 %. Le volume croît plus vite que ce qu’une équipe peut absorber. Il faut donc trier d’abord selon l’exposition et l’exploitation connue, pas seulement selon le score.

L’économie du « repackaging » et le chevauchement avec les États-nations

Une exploitation rapide ne nécessite pas des attaquants brillants, mais efficaces. Rapid7 a observé 63 publications sur des forums clandestins au cours du trimestre, dont 41 proposaient un accès à distance à des postes ou des réseaux. Quatorze autres concernaient des exploits ou des zero-days, la plupart visant des failles déjà connues dans les bulletins des éditeurs ou le catalogue CISA.

Lisez bien ceci : le marché des exploits commerciaux repose en grande partie sur le « repackaging ». Dès qu’une vulnérabilité est publique et qu’une preuve de concept circule, quelqu’un la transforme en produit. La moyenne de trois jours reflète aussi la chaîne d’approvisionnement du crime, où les courtiers d’accès, les développeurs d’outils et les affiliés ransomwares interviennent chacun à leur niveau — et très vite.

L’activité des États-nations suit le même schéma. Rapid7 a relié 15 vulnérabilités distinctes à six groupes ou clusters suivis, dont 8 attribuées à APT31. Le rapport décrit également un kit Linux attribué à des opérateurs liés à la Corée du Nord, utilisant une version trojanisée de HAProxy pour cibler des entreprises automobiles et médias sud-coréennes. D’autres groupes visent les pays de l’OTAN, l’Ukraine, ou des personnels gouvernementaux et militaires indiens.

Pourquoi une équipe conformité devrait-elle se soucier des groupes d’espionnage ? Parce qu’une même faille ne reste jamais longtemps entre les mains d’un seul acteur. Les techniques utilisées dans une campagne étatique finissent souvent dans les outils criminels — et l’inverse se produit aussi. Une vulnérabilité exploitée aujourd’hui par un État peut devenir demain la porte d’entrée d’un affilié ransomware. Considérer les rapports sur les États-nations comme un problème « d’autres » laisse un angle mort dans votre modèle de menace.

Ce que révèlent les listings ransomware sur l’exposition

Rapid7 a recensé 1 112 listings de fuites ransomware aux États-Unis sur le trimestre, soit environ huit fois plus qu’en Allemagne, et les États-Unis représentent environ 60 % des incidents mondiaux du rapport. Parmi les groupes, The Gentlemen arrive en tête avec 342 listings, suivi de Qilin (339) et INC Ransom (99). Ces totaux proviennent du classement global de Rapid7, il ne s’agit donc pas d’une répartition propre aux États-Unis.

Les données de fuite méritent une mise en garde : les listings reflètent ce que les criminels choisissent de publier, ce sont des revendications, pas des incidents vérifiés. Les organisations qui paient discrètement n’apparaissent jamais. Malgré tout, la tendance reste utile comme signal directionnel, et elle pointe vers une activité concentrée de quelques groupes agressifs.

Le constat le plus frappant concerne le secteur public. Les incidents ransomware dans le secteur public parmi les 10 premiers pays déclarants sont passés de 48 à 55 d’un trimestre à l’autre, soit une hausse de 15 %. La part des États-Unis dans ces incidents est passée de 33 % à 45 %. Rapid7 cite Qilin, The Gentlemen, KryBit et SafePay comme les opérateurs les plus actifs contre les cibles gouvernementales.

Si vous travaillez avec des organismes publics, ces chiffres doivent figurer dans votre registre des risques. Les agences partagent des données sensibles avec leurs sous-traitants, et les attaquants savent que les fournisseurs sont parfois des cibles plus faciles que les agences elles-mêmes. Un programme solide de gestion des risques tiers doit se demander ce qu’un attaquant pourrait atteindre via un fournisseur compromis, et un plan de réponse aux incidents mature doit simuler ce scénario. Rapid7 conseille aux défenseurs du secteur public de se concentrer sur la détection des techniques courantes des ransomwares, plutôt que de mémoriser la liste des groupes, car ces groupes évoluent plus vite que les listes.

L’IA accélère, mais ne domine pas encore le paysage

Aucun rapport sur les menaces en 2026 ne peut ignorer l’intelligence artificielle, et Rapid7 l’aborde avec mesure. Seuls 8 % des incidents suivis mentionnent l’IA comme composant opérationnel des attaques. Les humains choisissent encore les cibles et les objectifs. Là où l’IA intervient, elle aide à sélectionner les techniques, à trier les cibles et à se remettre d’échecs, certains acteurs répartissant même leurs objectifs sur plusieurs sessions IA pour contourner les protections.

Christiaan Beek, VP of Intelligence chez Rapid7, l’a résumé sans détour : « Les présentations au conseil confondent souvent l’explosion de la découverte de vulnérabilités grâce à l’IA avec l’exploitation réelle, qui n’a pas eu lieu. » Il a aussi averti que ces 8 % ne sont « qu’un instantané de l’adoption, pas un plafond ».

Ce cadrage mérite d’être repris en interne. L’IA accélère la découverte, ce qui signifie plus de vulnérabilités divulguées, plus de codes de preuve de concept, et un délai plus court entre l’avis et l’attaque opérationnelle. Mais elle n’a pas encore changé qui décide. C’est toujours un humain qui choisit de cibler votre environnement. C’est rassurant d’un côté, car cela signifie que les fondamentaux restent valables, mais préoccupant de l’autre, car ces fondamentaux disposent de moins en moins de temps.

Pour les responsables de la gouvernance, la bonne approche consiste à éviter les deux extrêmes. Ne considérez pas l’IA comme du simple battage médiatique, mais ne refondez pas tout votre programme autour d’elle. Surveillez toute utilisation inattendue d’API IA depuis des hôtes qui ne devraient jamais y accéder, comme le recommande Rapid7, et assurez-vous que votre délai de remédiation est suffisamment court pour survivre dans un monde où les codes d’exploit arrivent plus vite qu’avant.

Exprimer l’appétit pour le risque en jours d’exposition

Une phrase du rapport Rapid7 mérite d’être citée dans chaque document préparatoire au conseil : « Un appétit pour le risque que vous ne pouvez pas exprimer en jours d’exposition n’est qu’un vœu pieux assorti d’un budget. » Cette phrase résume une vraie faiblesse dans la gestion du risque de vulnérabilité de nombreuses organisations.

Regardez comment l’appétit pour le risque est généralement formulé. Les politiques disent des choses comme « les vulnérabilités critiques seront corrigées rapidement ». « Rapidement » est un adjectif, et les adjectifs ne sont pas audités. Un programme défendable le remplace par un engagement du type : « Les vulnérabilités exploitées sur les systèmes exposés à Internet seront corrigées ou isolées sous sept jours, avec des exceptions documentées approuvées par le RSSI. » Là, il y a une mesure, et une responsabilité.

Fixer ces chiffres relève de la gouvernance, et c’est plus efficace en collaboration. Le RSSI connaît ce qui est techniquement faisable. Le responsable conformité connaît les exigences réglementaires et contractuelles. Le responsable métier sait quels arrêts sont acceptables. Ensemble, ils peuvent définir des niveaux, par exemple des délais plus courts pour les failles exploitées sur des systèmes exposés, et plus longs pour les systèmes internes avec des contrôles compensatoires. Un CISO Dashboard qui suit le délai de remédiation par niveau transforme la politique en indicateur vivant.

La discipline la plus difficile, c’est la preuve. Pour chaque niveau, il faut des traces montrant quand la vulnérabilité a été divulguée, quand elle a été détectée dans votre environnement, qui a décidé quoi faire, et quand la correction ou le contrôle compensatoire a été appliqué. Les journaux d’audit qui alimentent un SIEM rendent la reconstitution plus rapide et plus crédible. Lorsqu’un auditeur ou un régulateur vous interroge, l’organisation capable de présenter une chronologie claire est mieux armée que celle qui doit tout reconstituer à partir de souvenirs et d’e-mails. Comme toujours, vérifiez avec votre conseil juridique les obligations qui s’appliquent à votre cas.

Sécuriser en priorité la couche d’échange de données

Rapid7 recommande aux défenseurs d’identifier les actifs accessibles depuis l’extérieur et de prioriser ceux qui présentent une exploitation connue, une attaque non authentifiée et qui assurent des fonctions critiques. En appliquant ce filtre à une entreprise type, une catégorie ressort rapidement : les systèmes qui échangent des données sensibles avec des tiers. Les serveurs de transfert de fichiers, les passerelles de messagerie sécurisée et les portails web pour partenaires doivent être accessibles depuis Internet pour fonctionner, et ils hébergent précisément ce que recherchent les attaquants.

Une réponse pertinente commence par l’inventaire et la classification des données, pour savoir quels canaux d’échange transportent du contenu réglementé. Elle se poursuit par l’architecture : la segmentation réseau limite la progression d’un attaquant après compromission d’un service exposé, et une architecture zéro trust considère que tout contrôle peut échouer. Ces principes s’appliquent aussi à la protection des données zéro trust au niveau du contenu, où la question n’est plus seulement qui peut accéder à un serveur, mais ce qu’il peut faire de chaque fichier une fois connecté.

C’est là que la consolidation des canaux d’échange prend tout son sens. Lorsque la messagerie électronique, le partage et le transfert de fichiers reposent sur des produits et des éditeurs différents, chacun impose son propre rythme de correctifs et sa propre surface d’exposition. Kiteworks adopte une approche différente en unifiant ces canaux dans une seule plateforme, déployée sous forme d’appliance virtuelle durcie avec pare-feu intégré, firewall applicatif web, administration à privilèges minimaux et surface d’attaque réduite. Le chiffrement de la plateforme est validé FIPS 140-3, et chaque transfert génère une preuve d’audit. Les organisations qui transfèrent des fichiers via la fonction MFT sécurisé peuvent ainsi mesurer et prouver leur exposition sur un seul système gouverné, au lieu de devoir rapprocher plusieurs solutions.

Aucune architecture ne dispense de corriger. Un design durci permet de gagner du temps et de limiter l’impact, ce qui est crucial quand la fenêtre entre divulgation et exploitation se compte en jours. Il simplifie aussi la gestion de la preuve, car un seul journal d’audit est plus facile à présenter à un auditeur que cinq.

Plan d’action pour les 30 prochains jours

Traduire tout cela en actions ne nécessite pas un nouveau cycle budgétaire, mais quelques décisions et de la rigueur dans l’exécution.

Commencez par mesurer. Analysez le dernier trimestre de vos enregistrements de remédiation et calculez le délai réel entre divulgation et correction pour chaque vulnérabilité du catalogue CISA ayant touché votre environnement. Distinguez les systèmes exposés à Internet des systèmes internes. La plupart des équipes constatent que les chiffres sont moins bons que la politique ne le laisse penser, et cette découverte est souvent plus précieuse que n’importe quel tableau de bord.

Puis, fixez des engagements par niveau, exprimés en jours. Mettez-vous d’accord sur un objectif de sept jours pour les failles exploitées sur des systèmes exposés, un délai plus long pour les actifs internes, et un processus d’exception qui exige un valideur nommé et une date d’expiration. Inscrivez ces engagements dans la déclaration d’appétit pour le risque afin que le conseil d’administration puisse les consulter.

Ensuite, fiabilisez la preuve. Assurez-vous que chaque correction, isolation ou exception acceptée génère un enregistrement horodaté avec un responsable identifié. Vérifiez que vos journaux sont conservés suffisamment longtemps et stockés à un endroit accessible aux auditeurs. Impliquez vos fournisseurs en exigeant la même preuve de la part des prestataires connectés à vos données, et contrôlez-la lors de vos revues fournisseurs.

Enfin, entraînez-vous. Organisez un exercice qui commence par la découverte d’une faille exploitée sur un service de transfert de fichiers exposé à l’extérieur et se termine par une mise à jour au conseil d’administration. Chronométrez chaque étape. L’exercice révélera où les validations bloquent, où les inventaires sont obsolètes, et où le délai de trois jours aurait été dépassé. Si vous travaillez avec des organismes publics, impliquez l’équipe conformité gouvernementale, car leurs exigences sont souvent les plus strictes.

Pour en savoir plus sur la réduction de l’exposition sur vos canaux d’échange de données sensibles, réservez une démo personnalisée dès aujourd’hui.

« `original code template start« `

Ressources complémentaires

• Article de blog Architecture Zero Trust : Ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : Les inconvénients qui poussent les sous-traitants de la défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser les données classifiées une fois signalées par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide ultime pour sécuriser le stockage des données sensibles à destination des responsables IT