Comment planifier votre Patch Tuesday sans perturber votre production en 7 étapes

Chaque deuxième mardi du mois, Microsoft publie ses correctifs de sécurité. En 2026, ces bulletins dépassent régulièrement les 700 vulnérabilités, et le record de septembre a atteint 966 failles en un seul lot. Face à ce volume, la plupart des PME françaises oscillent entre deux extrêmes : tout appliquer d'un bloc en priant pour que rien ne casse, ou repousser indéfiniment en priant pour ne pas être ciblé. Les deux approches échouent, et elles échouent de manière prévisible.

Ce guide décrit la méthode que nous appliquons avec nos clients PME, de 20 à 250 postes Windows. Elle tient en 7 étapes, se déroule sur 14 jours, et demande entre 4 et 8 heures de travail effectif par mois. Ce n'est pas un projet informatique : c'est une routine mensuelle, au même titre que la clôture comptable ou le rapprochement bancaire.

Étape 1 — Cartographier votre parc avant le deuxième mardi

Vous ne pouvez pas patcher ce que vous ne connaissez pas. Avant même de lire le premier bulletin, vous devez disposer d'un inventaire à jour de votre parc Windows. Cet inventaire n'a pas besoin d'être sophistiqué — un tableur suffit — mais il doit contenir quatre informations pour chaque machine :

• Nom de la machine et version de Windows (Windows 10 22H2, Windows 11 24H2, Server 2022, etc.). C'est ce qui détermine quels correctifs s'appliquent.
• Rôle de la machine : poste bureautique, serveur de fichiers, contrôleur de domaine, serveur Exchange, serveur applicatif. Ce rôle détermine la priorité et le créneau de redémarrage.
• Applications métier installées : l'ERP, le logiciel de comptabilité, l'outil de CAO, le logiciel médical. Ce sont les applications susceptibles de casser après un correctif, et ce sont celles qu'il faut tester sur le groupe pilote.
• Exposition réseau : la machine est-elle accessible depuis Internet (directement ou via un VPN) ? Est-elle utilisée pour l'administration du domaine ? Ces machines passent en priorité absolue.

Cet inventaire se constitue une fois et se met à jour au fil de l'eau. Si vous utilisez déjà WSUS, Intune ou SCCM, l'outil peut générer cette liste automatiquement. L'important est qu'elle existe et qu'elle soit consultable en moins de cinq minutes le jour du Patch Tuesday.

Étape 2 — Lire le bulletin le jour J et trier en 20 minutes

Le Patch Tuesday tombe le deuxième mardi du mois, généralement vers 19h heure de Paris. Vous n'avez pas besoin de lire les 966 lignes du bulletin. Vous avez besoin de répondre à trois questions, dans cet ordre :

1. Y a-t-il des zero-days activement exploitées ? Si oui, elles passent en Niveau 1 — déploiement sous 48 heures. Les sources fiables pour cette information : le Microsoft Security Response Center, BleepingComputer, SecurityWeek et les bulletins Tenable ou CrowdStrike.
2. Quels correctifs critiques touchent des produits que j'utilise et qui sont exposés ? Un correctif RCE critique sur Exchange ne vous concerne pas si vous n'avez pas de serveur Exchange. Inversement, un correctif « Important » sur SQL Server vous concerne directement si votre base de production tourne dessus.
3. Y a-t-il des Known Issues documentées ? Microsoft publie parfois des problèmes connus pour certains correctifs. Les consulter avant le déploiement évite les surprises, surtout pour les correctifs touchant l'impression, le VPN ou les politiques de groupe.

Cette lecture prend 20 minutes quand on sait où regarder. Elle produit un classement en trois niveaux :

• Niveau 1 — Sous 48 heures : zero-days + critiques sur vos services exposés.
• Niveau 2 — Sous 7 jours : critiques restantes + importantes touchant vos produits.
• Niveau 3 — Sous 14 jours : tout le reste, intégré au cycle normal.

Étape 3 — Constituer un groupe pilote représentatif

Le groupe pilote est la mesure de sécurité la plus simple et la plus efficace du processus. Il vous protège non pas contre les attaquants, mais contre les correctifs eux-mêmes. Un correctif Microsoft qui casse votre logiciel de comptabilité un vendredi après-midi coûte plus cher en interruption de production que la plupart des incidents de sécurité.

Votre groupe pilote doit couvrir la diversité de votre parc. Pour une PME type, cela signifie 3 à 5 machines :

• Un poste bureautique standard avec la suite Office et le navigateur.
• Un poste avec votre application métier principale (ERP, logiciel de gestion, outil de production).
• Un poste avec un VPN ou une connexion distante si vos collaborateurs en utilisent.
• Un serveur non critique si vous en avez (serveur de fichiers secondaire, serveur de test).
• Un poste avec une version de Windows différente si votre parc n'est pas homogène (un poste Windows 10 et un poste Windows 11, par exemple).

Ce groupe reste le même d'un mois à l'autre. Les utilisateurs de ces machines doivent savoir qu'ils sont en pilote et signaler toute anomalie. En contrepartie, ils reçoivent les correctifs de sécurité avant tout le monde — ce qui est un avantage, pas un inconvénient.

Étape 4 — Déployer sur le pilote et documenter les résultats

Les correctifs de Niveau 1 (zero-days et critiques exposés) sont déployés sur le groupe pilote dès le mercredi matin — le lendemain de la publication. Pour les Niveaux 2 et 3, le déploiement pilote peut attendre le jeudi ou le vendredi matin.

Après le redémarrage de chaque machine pilote, vérifiez quatre points :

1. La machine redémarre-t-elle normalement ? Le temps de redémarrage peut augmenter de 1 à 3 minutes après un Patch Tuesday — c'est normal. Un redémarrage qui dépasse 10 minutes ou qui boucle est un signal d'alerte.
2. L'application métier fonctionne-t-elle ? Ouvrez-la, effectuez une opération courante (saisie, recherche, impression). Les casses les plus fréquentes touchent l'impression et les connexions aux bases de données.
3. Les services réseau fonctionnent-ils ? Accès aux partages, résolution DNS, connexion VPN, accès Internet. Un correctif qui modifie la pile réseau peut casser silencieusement un accès utilisé une fois par jour.
4. Le correctif est-il effectivement installé ? Vérifiez via winver pour les mises à jour cumulatives, ou via l'historique Windows Update pour les correctifs individuels. Un correctif « en attente d'installation » ou « échoué » est une fausse sécurité.

Documentez les résultats dans un format simple — un courriel à l'équipe ou une ligne dans votre tableur de suivi. Ce qui compte, c'est que la décision de déployer en production soit fondée sur des faits, pas sur l'espoir.

Étape 5 — Planifier les créneaux de déploiement production

Le créneau de déploiement est la décision la plus souvent mal prise. Le réflexe est de patcher « la nuit pour ne déranger personne ». C'est une erreur pour trois raisons :

1. Personne ne supervise le redémarrage à 3 h du matin. Si une machine ne redémarre pas ou si un service ne reprend pas, le problème est découvert le matin à 8 h, quand tout le monde en a besoin simultanément.
2. Les sauvegardes tournent souvent la nuit. Un redémarrage pendant une sauvegarde peut corrompre l'archive, ce qui est plus grave que le problème que le correctif résout.
3. Le créneau 12 h-14 h (pause déjeuner) est presque toujours meilleur. L'impact est limité à une heure de production, quelqu'un est sur place pour superviser, et le retour à la normale est vérifié avant 14 h.

Pour les serveurs critiques (Exchange, contrôleurs de domaine, serveurs de fichiers), le créneau doit être communiqué à l'avance — un courriel bref suffisant : « Maintenance de sécurité prévue mercredi 12 h-13 h. Le serveur de fichiers sera indisponible 15 minutes. » Cette transparence évite les appels de panique et installe le Patch Tuesday comme un rendez-vous prévisible, pas comme une surprise.

Étape 6 — Déployer par vagues et vérifier le taux d'application

Le déploiement production se fait en vagues, pas en bloc. Trois vagues suffisent pour la plupart des PME :

• Vague 1 (J+2) : machines exposées et postes d'administration — les cibles de plus haute valeur pour un attaquant.
• Vague 2 (J+3 à J+5) : serveurs internes et postes critiques (comptabilité, direction, RH).
• Vague 3 (J+5 à J+7) : postes bureautiques standards — le gros du parc.

Après chaque vague, vérifiez le taux d'application effectif. C'est le chiffre le plus important de tout le processus, et c'est celui que la plupart des PME ne regardent pas. Un taux de 85 % signifie que 15 % de vos machines n'ont pas reçu le correctif. Ces 15 % sont presque toujours les machines les plus anciennes, les plus éloignées du réseau (postes nomades qui ne se connectent pas souvent), ou celles dont le service Windows Update est en erreur depuis des mois sans que personne ne le sache.

Votre objectif est un taux d'application de 98 % sous 14 jours pour les correctifs de Niveau 1, et de 95 % sous 30 jours pour l'ensemble. Les machines qui n'atteignent pas ce seuil doivent être identifiées individuellement et traitées manuellement.

Étape 7 — Documenter et préparer le mois suivant

La dernière étape est celle que tout le monde saute, et c'est celle qui transforme un processus fragile en une routine solide. À J+14, consignez dans un document simple (un courriel archivé ou une page de wiki interne) :

• Le nombre de correctifs appliqués et le taux d'application final.
• Les anomalies rencontrées sur le groupe pilote et en production (même mineures).
• Les machines qui n'ont pas été patchées et pourquoi (machine éteinte, service Windows Update en erreur, poste nomade non connecté).
• Les Known Issues rencontrées et les contournements appliqués.
• Le temps total consacré au processus ce mois-ci.

Ce document sert trois objectifs. D'abord, il fournit la preuve que le patch management est effectué — preuve utile en cas d'audit ISO 27001, de contrôle NIS 2, ou d'enquête après incident. Ensuite, il accumule les retours d'expérience : les anomalies de ce mois deviennent les points de vigilance du mois suivant. Enfin, il permet de mesurer l'amélioration : un processus qui prenait 12 heures le premier mois en prend 4 au sixième, parce que l'inventaire est à jour, le groupe pilote est rodé, et les créneaux sont établis.