Il y a quelques semaines, un responsable IT d'une PME wallonne m'a dit une phrase qui résume à elle seule un problème que je rencontre dans à peu près toutes les organisations que j'audite : « On sait qu'on a du retard sur les patches, mais on n'a jamais le temps. »

A few weeks ago, the IT manager of a Belgian SME said something to me that sums up a problem I encounter in virtually every organisation I audit: "We know we're behind on patches, but we never have the time."

Ce retard a un coût. Et ce coût ne se mesure pas en heures de travail perdues par l'équipe IT — il se mesure en incidents de sécurité, en données volées, en systèmes chiffrés par des ransomwares, et parfois en survie de l'entreprise.

That delay has a cost. And that cost is not measured in hours lost by the IT team — it is measured in security incidents, stolen data, systems encrypted by ransomware, and sometimes in the survival of the business.

J'ai passé une grande partie de ma carrière dans les institutions financières les plus exposées au monde — des banques de premier rang, des infrastructures de marché, des chambres de compensation. Ces organisations sont des cibles permanentes pour des groupes d'attaquants étatiques et criminels disposant de ressources considérables. Ce qui les protège n'est pas leur taille, ni leur budget seul : c'est leur niveau de maturité en matière de gouvernance, de gestion des risques et de conformité — et au cœur de cette maturité, la rigueur avec laquelle elles gèrent leurs patches et leurs vulnérabilités. Ce que DORA leur impose aujourd'hui, elles le pratiquaient déjà depuis des années. Parce qu'elles n'avaient pas le droit à l'erreur.

I spent a significant part of my career in the most exposed financial institutions in the world — tier-one banks, market infrastructures, clearing houses. These organisations are permanent targets for state-sponsored and criminal groups with considerable resources. What protects them is not their size, nor their budget alone: it is their level of GRC maturity — Governance, Risk, Compliance — and in particular the rigour with which they manage patches and vulnerabilities. What DORA now formalises for the entire European financial sector, the most mature institutions were already practising for years. Because they had no margin for error.

Le reste du tissu économique — PME, collectivités, hôpitaux, administrations publiques — n'a pas toujours ce niveau de maturité. Et les attaquants le savent.

The rest of the economy — SMEs, municipalities, hospitals, public administrations — does not always operate at that level of maturity. And attackers know it.

Ce que disent les chiffres

What the numbers say

Les statistiques en sécurité de l'information souffrent souvent d'un excès de prudence journalistique : on hésite à les citer parce qu'elles semblent trop mauvaises pour être vraies. Mais les sources sont sérieuses, et les chiffres se recoupent d'une étude à l'autre.

Statistics in information security often suffer from an excess of journalistic caution: people hesitate to cite them because they look too bad to be true. But the sources are serious, and the figures corroborate one another across studies.

Selon le Ponemon Institute, 60 % des victimes de violations de données déclarent avoir été compromises via une vulnérabilité connue pour laquelle un patch existait mais n'avait pas été appliqué. Le Verizon Data Breach Investigations Report (DBIR) 2024 — l'étude de référence du secteur, portant sur plus de 30 000 incidents et 10 000 violations confirmées — indique que l'exploitation de vulnérabilités a presque triplé en 2023, représentant 14 % de tous les incidents. Armis rapporte pour sa part que 45 % des CVE critiques restaient non patchés dans les organisations en 2023.

According to the Ponemon Institute, 60% of breach victims report having been compromised via a known vulnerability for which a patch existed but had not been applied. The Verizon Data Breach Investigations Report (DBIR) 2024 — the industry reference study, covering more than 30,000 incidents and 10,000 confirmed breaches — reports that vulnerability exploitation almost tripled in 2023, accounting for 14% of all incidents. Armis reports that 45% of critical CVEs remained unpatched in organisations in 2023.

Le chiffre qui doit vous alerter, qui doit garder tous les CISOs éveillés : selon Bitsight, les vulnérabilités critiques connues et activement exploitées mettent en moyenne 137 jours à être corrigées dans les entreprises. Presque cinq mois. Et selon Mandiant, les attaquants exploitent une vulnérabilité en moyenne dans les cinq jours suivant sa publication.

The figure that should put you on alert — the one that should keep every CISO awake at night: according to Bitsight, known critical vulnerabilities that are actively exploited take an average of 137 days to be remediated in enterprise environments. Nearly five months. And according to Mandiant, attackers exploit a vulnerability on average within five days of its publication.

Trois cas réels pour comprendre ce que cela signifie

Three real cases to understand what this means

01WannaCry (2017) : le patch existait depuis deux mois

01WannaCry (2017): the patch had been available for two months

Le 14 mars 2017, Microsoft publie le bulletin de sécurité MS17-010, classé « Critique », corrigeant une vulnérabilité dans le protocole SMBv1. Le 12 mai 2017 — soit 60 jours plus tard —, le ransomware WannaCry se propage à travers le monde en exploitant précisément cette vulnérabilité. En quelques heures, des centaines de milliers de machines sont touchées dans 150 pays : hôpitaux, usines, administrations, banques. Le NHS britannique est paralysé. Renault arrête des lignes de production. Telefónica, FedEx, Deutsche Bahn — la liste est longue.

On 14 March 2017, Microsoft published security bulletin MS17-010, rated "Critical", patching a vulnerability in the SMBv1 protocol. On 12 May 2017 — sixty days later — the WannaCry ransomware spread across the world exploiting precisely that vulnerability. Within hours, hundreds of thousands of machines were affected in 150 countries: hospitals, factories, government agencies, banks. The UK's NHS was paralysed. Renault halted production lines. Telefónica, FedEx, Deutsche Bahn — the list is long.

La vulnérabilité était connue. Le patch était disponible. Les organisations touchées n'avaient simplement pas trouvé le temps d'appliquer une mise à jour critique en soixante jours. Et ce cas n'est pas anecdotique : EternalBlue — l'exploit utilisé par WannaCry — figure encore aujourd'hui parmi les vecteurs d'attaque les plus actifs. Des systèmes non patchés depuis 2017 restent exploitables et sont activement ciblés.

The vulnerability was known. The patch was available. The affected organisations simply had not found time to apply a critical update in sixty days. And this case is not an outlier: EternalBlue — the exploit used by WannaCry — remains among the most active attack vectors today. Systems unpatched since 2017 are still exploitable and are actively targeted.

02MOVEit (2023) : 2 773 organisations, 96 millions de personnes

02MOVEit (2023): 2,773 organisations, 96 million individuals

En mai 2023, le groupe de ransomware Cl0p exploite une vulnérabilité zero-day dans MOVEit Transfer, un logiciel de transfert de fichiers largement utilisé dans les secteurs de la santé, de l'éducation et de la finance. Progress Software publie un patch le 31 mai 2023 — mais les données ont déjà été exfiltrées en masse depuis des milliers d'instances non protégées.

In May 2023, the Cl0p ransomware group exploited a zero-day vulnerability in MOVEit Transfer, a file transfer application widely used in healthcare, education, and finance. Progress Software published a patch on 31 May 2023 — but data had already been exfiltrated en masse from thousands of unprotected instances.

Le bilan : au moins 2 773 organisations compromises, les données personnelles de près de 96 millions de personnes volées. Parmi les victimes : le Département américain de l'Énergie, Johns Hopkins University, Shell, British Airways, la BBC, le gouvernement de la Nouvelle-Écosse, Ernst & Young. La vulnérabilité avait une note de sévérité de 9,8 sur 10. Ce cas illustre deux réalités : les zero-days ne laissent pas le temps de réagir — c'est inhérent à leur nature ; mais des semaines après la publication du patch, des milliers d'organisations n'avaient toujours pas appliqué la correction, prolongeant leur exposition bien au-delà de la fenêtre d'attaque initiale.

The toll: at least 2,773 organisations compromised, the personal data of nearly 96 million individuals stolen. Among the victims: the US Department of Energy, Johns Hopkins University, Shell, British Airways, the BBC, the Government of Nova Scotia, Ernst & Young. The vulnerability carried a severity rating of 9.8 out of 10. This case illustrates two realities: zero-days leave no reaction time — that is inherent to their nature; but weeks after the patch was published, thousands of organisations had still not applied the fix, extending their exposure well beyond the initial attack window.

03CVE-2017-12637 (SAP NetWeaver) : patchée en 2017, exploitée en 2025

03CVE-2017-12637 (SAP NetWeaver): patched in 2017, exploited in 2025

En mars 2025, la CISA signale l'exploitation active de CVE-2017-12637 — une vulnérabilité dans SAP NetWeaver pour laquelle un correctif existe depuis 2017. Huit ans. Des systèmes d'entreprise critiques tournant encore avec une faille corrigée depuis huit ans — une éternité à l'échelle de la cybersécurité. Ce cas est extrême, mais moins rare qu'on ne le croit : les systèmes legacy, les applications métier dont personne ne veut toucher la configuration, les serveurs « qui fonctionnent » et qu'on n'ose pas redémarrer — chaque organisation en a. Et chacun de ces systèmes est un point d'entrée potentiel. Mon ami et excellent collègue Michael Hendeles a d'ailleurs consacré une analyse à exactement ce sujet.

In March 2025, CISA reported active exploitation of CVE-2017-12637 — a vulnerability in SAP NetWeaver for which a patch has existed since 2017. Eight years. Critical enterprise systems still running with a flaw that has been fixed for eight years — an eternity in cybersecurity terms. This case is extreme, but less rare than one might think: legacy systems, business applications nobody wants to touch, servers that "work" and cannot be rebooted — every organisation has them. And every one of them is a potential entry point. My friend and excellent colleague Michael Hendeles has, fittingly, written an analysis on exactly this subject.

Ce que le secteur financier fait depuis des années

What the financial sector has been doing for years

Il y a une raison pour laquelle les grandes banques et les infrastructures de marché — chambres de compensation, dépositaires centraux, systèmes de paiement — ne font pas la une des journaux après des ransomwares. Ce n'est pas parce qu'elles ne sont pas ciblées : elles le sont en permanence, par des groupes disposant de ressources et de sophistication bien supérieures à ceux qui s'attaquent aux PME.

There is a reason why major banks and market infrastructures — clearing houses, central securities depositories, payment systems — do not make headlines after ransomware attacks. It is not because they are not targeted: they are targeted constantly, by groups with resources and sophistication far beyond those attacking SMEs.

Ce qui les protège, c'est leur niveau de maturité GRC — Gouvernance, Risque, Conformité — et en particulier la rigueur avec laquelle elles traitent la gestion des patches et des vulnérabilités. La différence avec une organisation moins mature ne tient pas à des outils magiques : elle tient à des processus documentés, testés, et effectivement appliqués. À une culture où une exception non documentée est un incident en soi. À un reporting régulier au management sur l'état de la surface d'attaque. Ce que DORA formalise aujourd'hui, les établissements les plus matures le pratiquaient depuis des années — non par obligation réglementaire, mais parce qu'ils avaient compris que c'était une condition de leur survie opérationnelle.

What protects them is their GRC maturity — Governance, Risk, Compliance — and in particular the rigour with which they manage patches and vulnerabilities. The difference with a less mature organisation does not come from magic tools: it comes from documented, tested, and actually applied processes. From a culture where an undocumented exception is itself an incident. From regular management reporting on the state of the attack surface. What DORA now formalises, the most mature institutions were already practising for years — not out of regulatory obligation, but because they understood it as a condition of their operational survival.

Pourquoi c'est si difficile — et pourquoi ce n'est pas une excuse

Why it is so difficult — and why that is not an excuse

Je l'entends régulièrement dans les organisations que j'accompagne : « Oui, mais patcher c'est risqué. On a eu un problème l'année dernière après une mise à jour. » Ou encore : « Notre ERP ne supporte pas la dernière version du système d'exploitation. » Ou : « On ne peut pas se permettre d'arrêter la production. » Ces arguments sont réels. La gestion des patches est complexe, particulièrement dans les environnements hétérogènes avec des dépendances applicatives fragiles. Un patch peut casser une intégration. Une mise à jour peut rendre incompatible un logiciel métier vieux de quinze ans.

I hear it regularly in the organisations I advise: "Yes, but patching is risky. We had a problem last year after an update." Or: "Our ERP doesn't support the latest OS version." Or: "We can't afford to stop production." These arguments are real. Patch management is complex, particularly in heterogeneous environments with fragile application dependencies. A patch can break an integration. An update can render a fifteen-year-old business application incompatible.

Mais ces difficultés opérationnelles ne constituent pas une raison de ne rien faire — elles constituent une raison de mettre en place un processus rigoureux. La bonne réponse à « patcher est risqué » n'est pas « alors on ne patche pas » : c'est « alors on gère ce risque de manière structurée » — environnements de test, fenêtres de maintenance planifiées, priorisation par criticité, compensating controls pour les systèmes qui ne peuvent pas être patchés immédiatement.

But these operational difficulties are not a reason to do nothing — they are a reason to put a rigorous process in place. The right answer to "patching is risky" is not "then we don't patch": it is "then we manage that risk in a structured way" — test environments, planned maintenance windows, criticality-based prioritisation, compensating controls for systems that cannot be patched immediately.

J'ai moi-même participé, pendant des années, au processus de revue des exceptions de sécurité au sein d'une grande institution financière. Ce processus existe dans toutes les banques et infrastructures de marché — sans exception. Il représente un investissement considérable : des réunions régulières, une documentation exigeante, et la présence de profils très seniors qui consacrent un temps précieux à arbitrer, exception par exception, le risque résiduel accepté et les contrôles compensatoires associés. C'est lourd. C'est coûteux. Mais c'est précisément le prix à payer pour une gestion maîtrisée des versions, des vulnérabilités — et donc des exceptions. Là où d'autres organisations subissent leurs systèmes non patchés, ces institutions décident, en connaissance de cause, de ce qu'elles tolèrent — et pour combien de temps.

I took part myself, for years, in the security exception review process within a large financial institution. This process exists in every bank and market infrastructure — without exception. It represents a considerable investment: regular meetings, demanding documentation, and the involvement of very senior people who devote valuable time to weighing, exception by exception, the accepted residual risk and the associated compensating controls. It is heavy. It is costly. But it is precisely the price of disciplined management of versions, vulnerabilities — and therefore of exceptions. Where other organisations are at the mercy of their unpatched systems, these institutions decide, knowingly, what they tolerate — and for how long.

Ce que NIS2, DORA et le CRA imposent

What NIS2, DORA and the CRA require

La gestion des vulnérabilités n'est plus seulement une bonne pratique : c'est une obligation réglementaire pour un nombre croissant d'organisations européennes.

Vulnerability management is no longer just a best practice: it is a regulatory obligation for a growing number of European organisations.

NIS2 (Directive (UE) 2022/2555, transposée en droit belge) impose aux entités essentielles et importantes, dans son article 21, la mise en œuvre de mesures de gestion des risques comprenant explicitement : la gestion des vulnérabilités, l'application des patches de sécurité, et la divulgation coordonnée des vulnérabilités. Une entité qui ne peut pas démontrer un processus structuré est en défaut de conformité. Les sanctions atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour les entités essentielles.

NIS2 (Directive (EU) 2022/2555, transposed into Belgian law) requires essential and important entities, under Article 21, to implement risk management measures explicitly including vulnerability management, patch deployment, and coordinated vulnerability disclosure. An entity that cannot demonstrate a structured process is in breach of compliance. Penalties reach €10 million or 2% of global annual turnover for essential entities.

DORA (Règlement (UE) 2022/2554, applicable depuis janvier 2025) impose aux institutions financières un cadre de gestion des risques ICT incluant spécifiquement l'identification, la classification et la remédiation des vulnérabilités. La résilience opérationnelle passe par la capacité à démontrer que les systèmes critiques sont à jour et que les processus de patching sont documentés et testés.

DORA (Regulation (EU) 2022/2554, applicable since January 2025) requires financial institutions to implement an ICT risk management framework specifically including the identification, classification, and remediation of vulnerabilities. Operational resilience requires demonstrating that critical systems are up to date and that patching processes are documented and tested.

Le Cyber Resilience Act (CRA), en application progressive depuis 2024, impose aux fabricants de produits connectés de gérer les vulnérabilités tout au long du cycle de vie du produit — étendant la responsabilité bien au-delà des seules équipes IT internes.

The Cyber Resilience Act (CRA), progressively applicable since 2024, requires manufacturers of connected products to manage vulnerabilities throughout the product lifecycle — extending responsibility well beyond internal IT teams.

Les fondamentaux d'un processus de gestion des vulnérabilités

The fundamentals of a vulnerability management process

Le temps que vous n'avez pas est celui que les attaquants ont

The time you do not have is the time attackers do

La gestion des patches et des vulnérabilités n'est pas un sujet glamour. Elle ne mobilise pas les budgets comme les projets de SOC ou de Zero Trust. Elle n'est pas visible. Elle ne génère pas de rapports impressionnants pour les comités de direction. Et pourtant, dans les trois quarts des incidents que j'analyse, elle est l'une des causes racines. Non pas parce que les organisations ignorent que c'est important — tout le monde le sait. Mais parce que c'est une discipline qui demande de la constance, de la rigueur, et une organisation qui lui dédie du temps et des ressources de manière pérenne.

Patch and vulnerability management is not a glamorous subject. It does not attract budgets the way SOC or Zero Trust projects do. It is not visible. It does not generate impressive reports for executive committees. And yet, in three quarters of the incidents I analyse, it is one of the root causes. Not because organisations do not know it matters — everyone knows. But because it is a discipline that demands consistency, rigour, and an organisation that dedicates time and resources to it on a sustained basis.

WannaCry n'a pas touché les organisations qui n'avaient pas appliqué MS17-010 parce qu'elles ignoraient l'existence du patch. Il les a touchées parce qu'elles ont eu soixante jours et qu'elles ont estimé avoir autre chose à faire. Les attaquants, eux, n'ont pas autre chose à faire.

WannaCry did not hit the organisations that had not applied MS17-010 because they were unaware of the patch. It hit them because they had sixty days and decided they had other things to do. Attackers have nothing else to do.

La sérendipité, en matière de vulnérabilités, n'existe pas. On ne tombe pas par chance sur le système non patché qui va vous coûter votre entreprise — c'est l'attaquant qui le trouve. À moins que vous n'ayez décidé de chercher le premier.

When it comes to vulnerabilities, there is no such thing as serendipity. You do not stumble by luck onto the unpatched system that will cost you your company — the attacker finds it. Unless you have decided to look first.