Il suffit de 48 heures à un cybercriminel pour exploiter une vulnérabilité. Pourquoi faut-il 43 jours pour la corriger ?

Il n’est pas toujours possible de corriger les vulnérabilités aussi rapidement que les cybercriminels les exploitent, mais les chiffres récents montrent à quel point cet écart s’est creusé.

FortiGuard Labs estime que le délai entre la divulgation d’une vulnérabilité critique et son exploitation active a fortement diminué, pour s’établir entre 24 et 48 heures. À l’inverse, le rapport Data Breach Investigations Report 2026 de Verizon montre qu’il faut en médiane 43 jours aux organisations pour mener à bien la remédiation d’une vulnérabilité.

Comme le savent trop bien de nombreux dirigeants du secteur financier mondial, des dommages considérables peuvent survenir dans les jours et les semaines qui séparent l’exploitation d’une vulnérabilité du déploiement réussi d’un correctif.

Du point de vue des leaders du secteur, ces deux indicateurs évoluent dans la mauvaise direction. Il était autrefois courant que les cybercriminels aient besoin d’une semaine pour exploiter une vulnérabilité. Le processus d’application des correctifs était également plus rapide : le chiffre actuel de 43 jours est en hausse par rapport aux 32 jours enregistrés douze mois plus tôt.

Les cybercriminels vont de plus en plus vite.
L’application des correctifs ralentit.

Courir après les cybercriminels n’est pas la solution

Il peut sembler logique de continuer à courir après les cybercriminels en identifiant et en corrigeant de manière réactive autant de vulnérabilités que possible.

Mais ce n’est pas nécessairement la meilleure option.

Les établissements financiers du monde entier devraient plutôt envisager sérieusement de donner la priorité à une gestion proactive des correctifs. Plutôt que d’essayer de corriger le plus grand nombre possible de vulnérabilités, la priorisation consiste à corriger les bonnes vulnérabilités. Cela inclut des approches comme la gestion des vulnérabilités basée sur les risques, qui pose notamment les questions suivantes : quelles vulnérabilités présentent le risque le plus élevé pour l’entreprise ? Quel est le degré de criticité des actifs concernés ? Quelle est la probabilité qu’elles soient exploitées ? Quel serait l’impact opérationnel potentiel en cas d’exploitation ?

Ces questions peuvent aider à prioriser la réponse et permettre aux équipes IT et sécurité de travailler de manière plus stratégique. C’est particulièrement important compte tenu de la pression cyber croissante à laquelle les établissements financiers sont confrontés dans le monde, alors qu’ils gèrent des environnements IT de plus en plus complexes.

Mesurer les bons indicateurs

Selon un nouveau rapport sur l’état de la cybersécurité, 57 % des professionnels de la sécurité considèrent les vulnérabilités logicielles comme une menace élevée ou critique, tandis que seuls 27 % déclarent être très préparés. Cet écart de 30 points de pourcentage s’est creusé de 11 points en un an seulement.

Avant de pouvoir prioriser efficacement les correctifs, vous devez mesurer les bons indicateurs. Le rapport révèle que seules 51 % des entreprises utilisent un score d’exposition aux risques de cybersécurité ou un autre indice basé sur les risques. Les autres s’appuient sur des indicateurs de processus, tels que le délai moyen de remédiation (47 %) ou le pourcentage d’expositions corrigées (41 %) : des indicateurs de rapidité et de couverture qui renseignent peu sur l’amélioration réelle de la posture de risque. Une entreprise sur trois déclare rencontrer des difficultés à prioriser la remédiation des risques dans des domaines tels que la gestion des correctifs.

L’automatisation peut aider

Alors que les équipes IT et sécurité sont déjà fortement sollicitées, un changement opérationnel peut sembler être une complication supplémentaire plutôt qu’une aide. L’automatisation peut alléger une partie de cette charge, mais seulement si elle est correctement mise en œuvre. Le rapport sur l’état de la cybersécurité a révélé que 92 % des professionnels de la sécurité déclarent que l’automatisation réduit le délai moyen de réponse de leurs équipes. Pourtant, seuls 42 % utilisent l’IA pour la réponse aux vulnérabilités et leur remédiation.

L’automatisation peut permettre de mieux exploiter les informations déjà disponibles. Elle peut accélérer la prise de décision et la priorisation en fonction des risques propres à chaque entreprise. La tendance à la gestion des vulnérabilités basée sur les risques, soutenue par l’automatisation, est déjà visible dans bon nombre des plus grands établissements financiers mondiaux, et le reste du secteur devrait en tenir compte. Les cybercriminels ne deviennent pas moins ambitieux.