Le mercredi 30 septembre, une faille critique a été publiée dans un petit serveur de partage de fichiers. Le jeudi soir, des attaquants l'exploitaient déjà. La faille avait été trouvée par un modèle d'IA.
Ce n'est pas une histoire de grands groupes. C'est le genre de logiciel qu'on installe un jour pour dépanner, et qu'on oublie. Dans cet article, on pose la routine de mises à jour qui tient ce nouveau rythme, sans service informatique.
Ce qui s'est passé, sans le jargon
Un chercheur de la société Horizon3 a utilisé Mythos, le modèle d'Anthropic spécialisé dans la recherche de vulnérabilités. Il l'a lancé sur Rejetto HFS, un logiciel gratuit qui sert à partager des fichiers via un navigateur. Mythos a trouvé une faille qui permet de se faire passer pour l'administrateur, puis de prendre la main sur la machine.
La faille a été rendue publique avec son correctif (la version 3.2.1). Moins de 24 heures après, selon The Register, les sondes de l'éditeur VulnCheck voyaient passer les premières attaques, depuis une adresse hébergée en Chine, contre des serveurs aux États-Unis et au Japon.
Retenez le détail qui compte : le correctif existait. Les victimes, ce sont ceux qui ne l'avaient pas encore installé.
Le délai de grâce a disparu
Pendant longtemps, on pouvait mettre à jour « quand on avait le temps ». Entre la publication d'une faille et les premières attaques, il se passait des semaines. Une PME qui faisait le tour de ses équipements une fois par trimestre s'en sortait la plupart du temps.
Ce confort n'existe plus. Dans son rapport M-Trends 2026, Mandiant (Google) estime que le délai moyen d'exploitation est passé à environ moins 7 jours : en moyenne, les attaquants exploitent une faille une semaine avant que le correctif soit publié. Le même rapport classe l'exploitation de failles comme la première porte d'entrée des intrusions pour la sixième année de suite, avec 32 % des cas.
L'IA accélère les deux côtés. Elle aide les chercheurs à trouver les failles, et elle aide les attaquants à fabriquer l'attaque à partir de la description publiée. Le travail qui demandait une équipe pendant une semaine se fait maintenant en une nuit.
Pour vous, la conséquence est simple. Tout ce qui est accessible depuis internet doit être mis à jour en jours, pas en mois.
Ce qui est vraiment exposé chez vous
Disons une PME de 40 personnes, un prestataire informatique qui passe de temps en temps, et une personne en interne « qui s'y connaît un peu ». Ce qui est joignable depuis internet ressemble souvent à ça :
- Le pare-feu ou la box du bureau, et son interface d'administration.
- Le VPN qui permet aux équipes de travailler à distance.
- Le NAS (le boîtier de stockage partagé), surtout s'il a un accès à distance activé.
- Le site web, en particulier un WordPress avec ses extensions.
- Le logiciel métier installé sur un serveur et ouvert à distance pour les commerciaux ou le cabinet comptable.
- Les outils installés « pour dépanner » : un serveur de fichiers comme HFS, une prise de main à distance, une caméra connectée.
- Vos automatisations auto-hébergées, si vous faites tourner un outil comme n8n sur votre propre serveur.
À l'inverse, vos outils en ligne (Microsoft 365, Google Workspace, votre CRM en SaaS) sont mis à jour par l'éditeur. Ce n'est pas votre problème au quotidien. Votre problème, c'est tout ce qui tourne chez vous ou sur un serveur que vous louez.
La routine en quatre étapes
1. Faites l'inventaire (une heure)
On ne met pas à jour ce qu'on ne connaît pas. Asseyez-vous avec la personne qui gère l'informatique, ou appelez votre prestataire, et remplissez ce tableau. Une ligne par équipement ou logiciel.
INVENTAIRE DES ÉLÉMENTS EXPOSÉS
| Élément | Version | Accessible depuis | Responsable | MAJ auto ? | Dernière MAJ |
| | actuelle | internet ? (oui/non)| (nom) | (oui/non) | (date) |
|-----------------|-----------|---------------------|--------------|------------|--------------|
| Pare-feu | | | | | |
| VPN | | | | | |
| NAS | | | | | |
| Site web + ext. | | | | | |
| Logiciel métier | | | | | |
| Prise en main | | | | | |
| à distance | | | | | |
| Autre : | | | | | |
La colonne qui compte, c'est « Responsable ». Un équipement sans nom en face, c'est un équipement que personne ne met à jour. On le voit presque à chaque fois.
2. Classez en trois niveaux
Tout ne mérite pas la même urgence. Trois niveaux suffisent :
- Niveau 1, exposé sur internet : correctif critique installé sous 48 heures. Si c'est impossible, on coupe l'accès depuis internet en attendant.
- Niveau 2, postes et serveurs internes : mises à jour automatiques activées, contrôle une fois par mois.
- Niveau 3, outils en ligne : rien à faire côté technique, sauf vérifier que la double authentification est active.
La règle du niveau 1 fait peur, mais elle se tient. Une PME a rarement plus de cinq ou six éléments exposés. Et la plupart des correctifs s'installent en un quart d'heure.
3. Branchez les alertes au bon endroit
Le CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, publie des avis de sécurité et des alertes sur les failles activement exploitées. Les deux existent en flux RSS. Les éditeurs de vos équipements (pare-feu, NAS) proposent aussi des listes de diffusion sécurité.
Le problème, c'est le volume. Le CERT-FR publie de nombreux avis chaque semaine, et l'immense majorité ne vous concerne pas. C'est exactement le genre de tri qu'un assistant IA fait bien, à condition de lui donner votre inventaire. Voici le prompt qu'on utilise comme base :
Tu es chargé de la veille sécurité d'une PME.
Voici notre inventaire d'éléments exposés sur internet,
avec leurs versions :
[collez ici votre tableau d'inventaire]
Voici les avis de sécurité publiés cette semaine :
[collez ici les titres et résumés des avis CERT-FR
et des alertes éditeurs]
Pour chaque avis :
1. Indique s'il concerne un élément de notre inventaire
(oui / non / à vérifier), en citant l'élément.
2. Si oui, donne la version corrigée à installer.
3. Signale en premier tout avis qui mentionne une
exploitation active.
Ne réponds que pour les avis qui nous concernent ou
qui sont à vérifier. Si aucun ne nous concerne,
réponds seulement « Rien cette semaine ».
Ne devine jamais une version : si l'avis ne la donne
pas, écris « version à confirmer chez l'éditeur ».
Fait une fois par semaine, à la main, ça prend dix minutes. On peut aussi l'automatiser : un flux qui récupère les avis chaque matin, les croise avec l'inventaire et n'envoie un message que s'il y a une correspondance. Ça s'intègre bien dans un reporting automatisé que vous recevez déjà. Gardez un humain pour la décision : l'IA trie, elle n'installe rien.
4. Activez les mises à jour automatiques partout où c'est possible
Le meilleur correctif est celui que personne n'a besoin de penser à installer. La plupart des pare-feu récents, des NAS et des sites WordPress proposent une option de mise à jour automatique pour les correctifs de sécurité. Elle est souvent désactivée par défaut, ou désactivée un jour « parce qu'une mise à jour avait cassé quelque chose ».
Réactivez-la sur tout le niveau 1. Le risque qu'un correctif casse un service existe, mais il se corrige en une heure. Une intrusion, elle, se compte en semaines.
La question à envoyer à votre prestataire
Si un prestataire gère votre informatique, vous n'avez pas besoin de comprendre le détail. Vous avez besoin d'une réponse écrite à ces questions :
Objet : délais de mise à jour de sécurité
Bonjour,
Suite aux récentes failles exploitées en moins de 24 heures,
nous faisons le point sur nos délais de mise à jour.
Pouvez-vous nous indiquer par écrit :
1. La liste de nos équipements et logiciels accessibles
depuis internet, avec leur version actuelle.
2. Le délai sous lequel vous installez un correctif
critique sur ces éléments, une fois publié.
3. Comment vous êtes prévenus des nouvelles failles
qui les concernent.
4. Ce que vous faites quand un correctif ne peut pas être
installé rapidement (coupure de l'accès, contournement).
Merci d'avance,
Si la réponse à la question 2 est « lors de notre passage trimestriel », vous avez trouvé votre premier chantier.
Là où ça coince en vrai
Trois situations reviennent souvent.
L'équipement que plus personne ne maintient. Un vieux NAS ou un pare-feu dont le fabricant ne publie plus de correctifs. Là, aucune routine ne vous protège. Soit on le retire d'internet, soit on le remplace. Le garder « parce qu'il marche encore », c'est laisser une porte ouverte en le sachant.
Le logiciel métier bloqué sur une version. L'éditeur impose sa version, et la mise à jour passe par lui. Demandez-lui le même délai par écrit, et en attendant, ne l'ouvrez sur internet que derrière le VPN.
L'outil installé par quelqu'un qui est parti. C'est le cas HFS typique. Un logiciel posé un jour pour envoyer de gros fichiers à un client, jamais retiré. L'inventaire de l'étape 1 sert d'abord à trouver ceux-là, et à les désinstaller.
Commencez par la liste
Vous n'avez pas besoin d'un budget sécurité pour agir cette semaine. Remplissez le tableau d'inventaire, mettez un nom en face de chaque ligne, et envoyez le message à votre prestataire.
Ce qui change avec l'IA, ce n'est pas la nature des attaques. C'est le délai entre la publication d'une faille et la première tentative. Une routine qui tient en 48 heures sur cinq ou six éléments exposés vous met déjà hors de portée de la plupart des attaques opportunistes.
Sources :
- The Register, "Anthropic's super bug-hunting model Mythos is hardcore good at math, as latest vuln under attack shows", 3 octobre 2026. https://www.theregister.com/security/2026/10/03/anthropics-super-bug-hunting-model-mythos-is-hardcore-good-at-math-as-latest-vuln-under-attack-shows/5300933, consulté le 4 octobre 2026.
- Mandiant (Google Cloud), "M-Trends 2026: Data, Insights, and Strategies From the Frontlines", mars 2026. https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026, consulté le 4 octobre 2026.
- CERT-FR (ANSSI), avis et alertes de sécurité. https://www.cert.ssi.gouv.fr/, consulté le 4 octobre 2026.