Mises à jour et drivers : ces nouvelles portes d’entrée que les cybercriminels exploitent dans les systèmes d’information

Maintenir ses systèmes à jour reste l’une des premières règles de cybersécurité. Pourtant, les mécanismes conçus pour corriger les failles peuvent eux-mêmes être détournés. Faux correctifs, chaîne de distribution compromise, pilotes légitimes mais vulnérables : les cybercriminels exploitent désormais des composants auxquels les systèmes accordent une confiance élevée. Pour les DSI, le patch management doit donc intégrer davantage de contrôles, sans ralentir la correction des vulnérabilités. 

Quand les mises à jour deviennent elles-mêmes des vecteurs de cyberattaques

Les attaques contre la chaîne d’approvisionnement logicielle (supply chain) exploitent précisément cette relation de confiance. En compromettant un éditeur, un prestataire ou une infrastructure de distribution, les attaquants peuvent chercher à introduire du code malveillant dans un logiciel ou une mise à jour. Le fichier est alors susceptible d’être diffusé par un canal que l’entreprise considère habituellement comme légitime.

D’autres attaques reposent sur des mécanismes plus directs. Un faux avis de sécurité, une page imitant le site d’un constructeur ou un prétendu outil de mise à jour peuvent inciter un utilisateur à installer un programme malveillant.

La confiance accordée à un composant logiciel présente toutefois une autre limite : même authentique et correctement signé, celui-ci peut contenir une vulnérabilité exploitable.

Drivers et pilotes vulnérables : une menace souvent sous-estimée

Les pilotes assurent la communication entre le système d’exploitation et les composants matériels. Certains disposent de privilèges élevés, jusqu’au noyau Windows : une faille peut alors permettre de neutraliser des protections du poste.

C’est le principe des attaques Bring Your Own Vulnerable Driver (BYOVD). Plutôt que de développer un pilote malveillant qui risquerait d’être bloqué, l’attaquant introduit ou utilise un pilote légitime comportant une faille connue. Ce type d’attaque illustre les risques associés aux composants logiciels auxquels le système accorde des privilèges élevés. Elle rappelle également l’importance d’une analyse des risques couvrant l’ensemble du système d’information, à l’image de l’approche défendue par le cabinet Fidens by TVH Consulting, à travers ses missions d’audit, d’analyse de risques et de gouvernance de la sécurité.

En août 2025, le CERT Santé documentait cette technique dans les opérations du groupe de ransomware Qilin. Les attaquants utilisaient notamment TPwSav.sys, un pilote Toshiba signé et vulnérable, pour intervenir au niveau du noyau Windows et contourner des protections de sécurité.

La multiplication des surfaces d’attaque et des groupes cybercriminels complique la maîtrise des risques

Les pilotes ne représentent qu’une partie du problème. Sur un même poste de travail cohabitent un système d’exploitation, des applications métier, des logiciels de sécurité, des pilotes de périphériques et des firmwares. Chacun possède son propre cycle de maintenance et peut faire l’objet de vulnérabilités spécifiques.

Les attaquants exploitent ces différences, mais aussi le manque de visibilité sur les composants installés. Une vulnérabilité connue dans un ancien pilote peut rester présente sur quelques machines alors que l’essentiel du parc a été mis à jour.

Cette complexité rencontre une cybercriminalité de plus en plus organisée. “Les groupes cybercriminels sont aujourd’hui structurés comme de véritables entreprises, avec des outils, des process, des spécialisations.” explique Laurent Galvani, expert cybersécurité chez Fidens by TVH Consulting.

Le modèle du Ransomware-as-a-Service (RaaS) illustre cette organisation : des acteurs développent ou maintiennent les outils, tandis que d’autres se chargent des intrusions et de leur exploitation.

Pour les entreprises, l’enjeu est donc de connaître précisément les composants présents sur leurs équipements, leurs versions, leurs dépendances et les vulnérabilités auxquelles ils sont exposés. Sans inventaire fiable, la gestion des correctifs restera nécessairement incomplète.

Repenser le patch management : ne plus simplement mettre à jour, mais contrôler en continu

Appliquer un correctif dès sa disponibilité peut sembler être la meilleure protection. Dans la pratique, la gestion des mises à jour demande un arbitrage entre réduction du risque et continuité d’activité.

Un pilote réseau défectueux peut rendre un poste inaccessible. Une nouvelle version de firmware peut modifier le comportement d’un équipement. À l’inverse, reporter trop longtemps un correctif critique laisse une vulnérabilité exploitable.

Avant tout déploiement, l’origine et l’intégrité des fichiers doivent être vérifiées à partir des mécanismes proposés par les éditeurs. Les correctifs les plus sensibles peuvent ensuite être testés sur un périmètre représentatif, afin d’identifier d’éventuelles incompatibilités.

Un déploiement progressif permet de limiter les conséquences d’un incident : quelques machines pilotes, puis un groupe plus large, avant la généralisation. Cette approche suppose également de prévoir les conditions de retour arrière lorsqu’un changement provoque un dysfonctionnement.

L’automatisation contribue à rendre ces opérations reproductibles, tout en conservant des points de contrôle. Cette importance de la supervision des infrastructures, de la vérification des écarts et de l’automatisation des correctifs est également abordée dans une analyse à lire sur Le Monde Informatique.

Automatisation et supervision : vers une gestion proactive des vulnérabilités

Une supervision efficace rapproche l’inventaire des composants, la veille sur les vulnérabilités et le déploiement des correctifs.

Un inventaire actualisé permet d’identifier les versions présentes sur les équipements. Les informations publiées par les éditeurs et les organismes de cybersécurité peuvent ensuite être croisées avec cet inventaire pour repérer les machines concernées par une vulnérabilité.

Cette visibilité facilite la priorisation. Une faille activement exploitée sur un serveur exposé à Internet appelle généralement une réaction plus rapide qu’une vulnérabilité de même gravité théorique affectant un composant isolé et inutilisé.

Les outils de supervision et d’administration du parc peuvent automatiser une partie du travail : détection des versions obsolètes, suivi des déploiements, remontée des erreurs et production de rapports de conformité. Elle fait partie des enjeux prioritaires au coeur des DSI depuis quelques années comme le rappelle régulièrement le site Cloudlist.fr. Mais lancer une mise à jour ne signifie pas qu’elle a été installée. Un poste éteint, un redémarrage différé ou un échec silencieux peuvent laisser subsister la vulnérabilité. Le suivi doit donc porter sur l’état réel des équipements après intervention.

Pour les pilotes sensibles, cette surveillance peut être complétée par des mécanismes de contrôle des applications et de blocage des pilotes vulnérables, en tenant compte de leurs conséquences possibles sur la compatibilité matérielle.

Faire du patch management un véritable pilier de la gouvernance cyber

Une bonne gestion des mises à jour ne repose pas uniquement sur les outils. Elle nécessite une politique commune entre les équipes d’exploitation, les responsables de la sécurité et les métiers. Cette politique doit notamment préciser les délais de correction attendus selon la criticité, les procédures de validation, les responsabilités et les conditions permettant de reporter une mise à jour. Lorsqu’un correctif ne peut pas être appliqué immédiatement, des mesures compensatoires doivent être étudiées et le risque résiduel documenté.

Le NIST (National Institute of Standards and Technology) inscrit d’ailleurs le patch management dans une démarche de maintenance préventive, associant identification, priorisation, installation et vérification des correctifs. Cette approche implique les responsables techniques, mais aussi les métiers lorsque les opérations peuvent affecter la disponibilité des services.

Quelques indicateurs permettent de piloter les résultats : part des équipements à jour, nombre de vulnérabilités critiques non corrigées, délai moyen de remédiation, échecs de déploiement ou exceptions en attente de traitement.

Les mises à jour restent indispensables à la sécurité des systèmes d’information. Les attaques exploitant la confiance accordée aux pilotes et aux mécanismes de distribution rappellent néanmoins qu’elles doivent être encadrées. La maîtrise du risque repose désormais sur la capacité à identifier les composants vulnérables, à déployer les corrections appropriées et à vérifier durablement leur efficacité.