On demande aux équipes de sécurité des entreprises britanniques d'aller plus vite face à une liste de failles plus longue, alors que les échecs quotidiens que les attaquants utilisent n'ont pas disparu. Le Digital Defense Report 2026 de Microsoft décrit les deux côtés : une charge publique de vulnérabilités plus lourde, et des attaquants qui utilisent l'IA sur des parties de l'attaque, à côté des anciennes voies du mot de passe volé ou du compte trop privilégié.
Le rapport est le regard d'un fournisseur sur le paysage des menaces, pas l'audit d'une entreprise précise. C'est quand même un brief clair pour le travail qui ne peut pas attendre une nouvelle plateforme. Savoir ce qui est exposé à Internet. Corriger ce qui ferait mal s'il était abusé. Rendre un mot de passe volé moins utile.
Une année plus lourde en vulnérabilités
Le Digital Defense Report 2026 de Microsoft indique que près de 40 000 Common Vulnerabilities and Exposures ont été publiées au premier semestre 2026, ce qui met l'année sur la voie d'un total bien plus élevé. Le rapport décrit aussi l'IA utilisée sur des parties de la chaîne d'attaque, dont la reconnaissance, l'hameçonnage, la découverte de vulnérabilités et l'activité après compromission. La bibliothèque de rapports de Microsoft accueille la série Digital Defense, et les équipes qui comparent les sources peuvent lire le Global Threat Report 2026 de CrowdStrike à côté.
Le volume seul ne dit pas quelle faille corriger jeudi. Il explique pourquoi une file plate de « tout corriger » s'effondre. Près de 40 000 CVE publiées en six mois, c'est plus qu'une petite équipe IT ne peut évaluer une par une. Prioriser selon l'exposition et selon ce que le système fait pour l'entreprise est le seul moyen de garder une file honnête.
L'écart entre arsenalisation et correction
Microsoft décrit un problème de temps. Le délai médian entre la découverte d'une vulnérabilité dans la nature et son arsenalisation est passé sous 24 heures. La correction des vulnérabilités critiques exposées à l'extérieur peut prendre de 30 à 60 jours. C'est dans cet écart que les incidents tiennent. Une faille peut être utilisable par un attaquant pendant que l'organisation vérifie encore l'impact, teste la mise à jour, réserve une maintenance et déploie le correctif.
Ramener tout l'écart sous une journée n'est pas réaliste pour chaque système. Le raccourcir pour les systèmes exposés à Internet l'est. Un inventaire exact de ces actifs vient en premier. Un serveur que personne ne se rappelle ne se corrige pas selon un calendrier. Un environnement de test assez proche de la production pour essayer la mise à jour vient ensuite. Une fenêtre de maintenance qui a vraiment lieu vient après. Les chiffres du rapport sont des médianes et des fourchettes, pas une échéance écrite dans un contrat, mais ils sont une raison d'arrêter de traiter le correctif critique exposé comme un rangement trimestriel.
Des faiblesses connues ouvrent encore la porte
L'IA n'est pas le seul facteur que Microsoft souligne. Les attaquants continuent d'exploiter des faiblesses que les équipes de sécurité nomment depuis des années : comptes compromis, droits excessifs, services exposés, et logiciels ou outils que l'organisation fait déjà confiance. Dans les données citées par le rapport, l'exécution par l'utilisateur représentait 30 % des accès initiaux observés, et les comptes valides 20 % de plus. Quelqu'un qui lance ce qu'on l'a convaincu de lancer, ou quelqu'un qui se connecte avec un vrai mot de passe, reste le début d'une grande part des intrusions.
C'est une correction utile à une conversation outillage qui ne parle que d'attaques nouvelles. L'authentification multifacteur, moins de comptes administrateur, et l'habitude de demander pourquoi un service est joignable depuis Internet réduiront encore de vrais incidents en 2026. Un message d'hameçonnage rédigé avec un modèle reste de l'hameçonnage. Le contrôle, c'est le compte qu'il cherche à voler, et ce que ce compte a le droit de faire ensuite.
- Lister les systèmes exposés à Internet, y compris ceux qu'un projet a montés puis oubliés.
- Classer les vulnérabilités selon l'exposition et l'impact métier, pas selon le seul nombre de CVE.
- Exiger l'authentification multifacteur, et retirer les droits d'administrateur permanents que personne ne revoit.
- Relier les signaux déjà là : postes, cloud, identité, e-mail et applications que le personnel utilise.
Utiliser l'automatisation défensive avec une personne sur l'escalade
L'IA peut aider les défenseurs à trier les alertes, repérer des motifs et automatiser des parties de la réponse à incident. Ces outils demandent la même discipline que n'importe quel autre agent. Une automatisation de sécurité aux droits larges peut désactiver le mauvais compte, fermer un port dont l'entreprise a besoin, ou noyer une vraie alerte sous une nouvelle pile d'alertes générées. Le but n'est pas plus d'alertes, ni d'appliquer chaque correctif dans une seule fenêtre. C'est de réduire l'exposition qui compte et de répondre avant qu'un attaquant n'aille plus loin.
Des droits clairs et un chemin d'escalade humaine appartiennent au dessin. Si l'automatisation ne peut pas expliquer ce qu'elle a changé, elle n'est pas prête pour la production. Le même schéma apparaît quand des agents métier, plutôt que des outils de sécurité, reçoivent des outils et des identités. Les risques de sécurité des agents d'IA sont l'autre face de ce rapport : les attaquants accélèrent, et un agent interne utile peut devenir une identité de plus à abuser.
Accélérer le travail que l'on connaît déjà
Le rapport de Microsoft plaide pour une défense de base plus rapide, pas pour remplacer toute la pile de sécurité. Inventaire, identité, correctifs de ce qui est exposé, et une vue reliée des alertes sont les leviers qu'une entreprise britannique peut actionner sans attendre le prochain lancement. La maintenance et le support sont l'endroit où les correctifs et les mises à jour ont vraiment lieu après la mise en ligne d'un site ou d'une application. L'architecture cloud décide quels services sont joignables, et qui peut changer cela.
Web Works Rise est une équipe menée depuis le Royaume-Uni, à Birmingham, avec une livraison depuis un hub en Tunisie. Si un site public ou une application métier a besoin d'une image plus claire de ce qui est exposé, et d'une routine de mises à jour qui n'attend pas deux mois, parlez à l'équipe. Le calendrier du rapport est déjà plus court qu'un cycle de maintenance tranquille.