Igor Sakhnov, vice-président exécutif et directeur général des réseaux Azure chez Microsoft, estime que le modèle traditionnel de gestion des vulnérabilités ne suit plus le rythme des menaces modernes. Les organisations ont souvent besoin de jours ou de semaines pour comprendre l’impact d’une vulnérabilité, identifier les systèmes concernés, tester le correctif et se coordonner avec les équipes d’exploitation avant de le déployer dans les environnements de production. En revanche, une vulnérabilité publiée peut passer au stade de l’analyse et de l’exploitation active en quelques heures.
Cette thèse, publiée le 25 août 2026 sur le Microsoft Security Blog, n’annonce pas un produit précis, mais présente plutôt la vision de l’entreprise concernant la redistribution des rôles entre les différentes couches de protection. L’idée centrale est que le correctif restera nécessaire, mais qu’il ne constituera pas toujours l’action la plus rapide pour réduire le risque. Les organisations ont donc besoin de contrôles compensatoires actifs pendant la période comprise entre la découverte du problème et sa résolution définitive.
La fenêtre de correction se rétrécit
La gestion traditionnelle des vulnérabilités reposait sur l’hypothèse que les défenseurs disposaient de suffisamment de temps pour évaluer le problème avant que les attaquants ne l’exploitent à grande échelle. Or les environnements d’entreprise comprennent désormais des milliers de serveurs, d’applications, de bases de données, de conteneurs et d’actifs réseau répartis entre le cloud, les environnements hybrides et les environnements multicloud. En outre, de nombreuses applications critiques pour l’activité ne peuvent pas être mises hors service immédiatement lorsqu’une mise à jour de sécurité devient disponible.
Les étapes de vérification restent nécessaires et ne constituent pas un indicateur de faiblesse des processus. Les équipes de sécurité doivent comprendre l’impact de la vulnérabilité sur l’activité, identifier les systèmes concernés, étudier les dépendances et la compatibilité, vérifier le correctif dans des environnements de test, coordonner les calendriers de changement, puis surveiller les éventuels effets opérationnels secondaires. Le problème est que ces garanties opérationnelles prennent du temps, tandis que la durée nécessaire à l’attaquant pour découvrir une voie exploitable diminue.
L’intelligence artificielle comprime le calendrier
Selon Sakhnov, l’impact de l’intelligence artificielle ne se limite pas à aider les organisations à analyser les données et à améliorer la sécurité ; les opérations qui s’appuient sur elle peuvent également accélérer l’analyse des divulgations de vulnérabilités, la compréhension des conditions d’exploitation, l’identification des voies d’attaque et la mise en relation d’informations techniques complexes. Plus ces capacités deviennent largement accessibles, plus l’intervalle entre l’annonce d’une vulnérabilité et les tentatives d’exploitation se réduit.
Un déséquilibre évident apparaît alors dans les responsabilités : le défenseur doit protéger un environnement complet et complexe, tandis que l’attaquant n’a besoin que d’une seule voie valide pour atteindre sa cible. Il ne suffit donc pas que l’organisation connaisse les systèmes vulnérables ou augmente la priorité du correctif ; elle doit réduire immédiatement l’exploitabilité lorsqu’il est impossible d’installer la mise à jour.
Le réseau comme couche de confinement temporaire
L’article propose de considérer le réseau comme une « couche de contrôle » rapide, capable de protéger les charges de travail pendant la poursuite de la remédiation. Le réseau se situe à l’extérieur des applications et dispose d’une visibilité sur les schémas de communication, les relations de confiance et les flux de trafic, ce qui permet d’appliquer des changements sans modifier l’application elle-même ni attendre le déploiement d’un nouvel agent sur chaque terminal.
Selon cette thèse, ces contrôles peuvent restreindre l’accès aux systèmes vulnérables, réduire les voies d’attaque potentielles, limiter les mouvements latéraux, isoler les actifs à haut risque et réduire l’étendue des dommages potentiels. Ils peuvent également être ajustés à mesure que de nouvelles informations apparaissent, à une vitesse susceptible de dépasser le cycle de test et de déploiement d’un correctif dans un grand environnement d’entreprise.
La source donne l’exemple d’une vulnérabilité dans HTTP/2 pour laquelle la recommandation temporaire pourrait consister à désactiver complètement le protocole, ce qui risquerait toutefois d’affecter les performances et la disponibilité de l’application. Une réponse plus précise pourrait plutôt consister à limiter le nombre de flux simultanés, à renforcer les restrictions applicables aux requêtes ou à plafonner les schémas de communications abusives, tout en maintenant le service disponible. L’exemple illustre la différence entre bloquer entièrement la communication et limiter le comportement dont dépend l’exploitation.
De la visibilité à l’application adaptative
Sakhnov souligne que les outils de visibilité, les renseignements sur les menaces et les analyses sont importants, mais qu’ils ne réduisent pas à eux seuls l’exposition au risque. La protection adaptative nécessite trois capacités interdépendantes : comprendre la nature de la vulnérabilité, la mettre en relation avec la réalité de l’environnement en termes de configurations, de voies de communication et d’exposition, puis traduire cette compréhension en contrôles pouvant être appliqués rapidement et à grande échelle.
Selon la lecture de certi.news, l’importance de cette thèse réside dans le fait qu’elle identifie une lacune pratique que le seul correctif ne permet pas de résoudre : que fait l’organisation lorsqu’elle connaît le risque, mais ne peut pas modifier immédiatement le système ? Cette vision ne supprime toutefois pas la gestion des correctifs et ne prouve pas que les contrôles réseau conviennent à toutes les vulnérabilités. Leur efficacité dépend de la compréhension du comportement de l’exploitation et du réglage des règles, afin que les mesures de confinement ne se transforment pas en interruption des services ou en faux sentiment de sécurité. En outre, la source présente une position éditoriale d’un responsable de Microsoft, et non les résultats d’un test indépendant ni un engagement concernant les capacités d’un produit précis. La question ouverte demeure donc celle de la précision de cette protection adaptative et de sa capacité à être appliquée dans différents environnements, tandis que la correction définitive reste le traitement fondamental du problème.