Un correctif est une mise à jour logicielle qui résout un bug ou comble une faille de sécurité. Les fournisseurs publient des correctifs lorsqu'ils découvrent des failles. Parfois, la faille est mineure et le correctif est de routine. Parfois, la faille est critique et le correctif est urgent. Cette distinction est importante. Une faille d'exécution de code à distance dans un service accessible via Internet doit être corrigée dans les heures qui suivent. Un bug mineur dans un outil interne peut attendre la prochaine fenêtre de maintenance.

Les correctifs ne sont pas facultatifs. La grande majorité des attaques réussies exploitent des vulnérabilités connues pour lesquelles des correctifs étaient disponibles. En 2017, WannaCry s'est propagé via une faille de Windows que Microsoft avait corrigée deux mois auparavant. Les organisations qui n'avaient pas appliqué le correctif ont été touchées. Celles qui l'avaient appliqué étaient immunisées. Ce même schéma se répète chaque année. Les attaquants recherchent les systèmes non corrigés car ce sont des cibles faciles. L'application des correctifs est une tâche ingrate. Elle nécessite des tests, une planification et parfois des redémarrages. C'est aussi le moyen de prévention le plus efficace contre les intrusions.

Catégories de patchs

• Correctifs de sécurité — corrigent les vulnérabilités, priorité absolue
• Corrections de bugs — correction des défauts fonctionnels
• Mises à jour des fonctionnalités — ajout de nouvelles capacités, pouvant engendrer des risques
• Correctifs de firmware — mise à jour du code matériel
• Correctifs d'urgence — versions hors cycle pour corriger des failles critiques

Testez les correctifs avant de les déployer à grande échelle. Un correctif qui rend une application critique inutilisable constitue un incident à part entière.