Les correctifs Windows quand la divulgation va à la vitesse de l'IA : notre nouvelle recherche

Le volume de CVE Windows et Office a fortement augmenté, mais pas leur gravité moyenne. C'est le constat au cœur de notre nouvelle recherche. Sur la dernière année complète (d'octobre 2025 à septembre 2026), l'étude dénombre 2 438 CVE Windows et Office distinctes, soit une hausse de 159,1 % par rapport aux 941 de l'année précédente, tandis que le score de base CVSS v3 moyen est passé de 7,43 à 7,37, puis à 7,28. Pour quiconque est responsable des correctifs ou du packaging d'applications, la question utile n'est plus de savoir combien de CVE ont été publiées. C'est de savoir comment suivre le rythme d'un flux de mises à jour plus rapide et prouver que chacune est bel et bien en cours d'exécution.

L'article, Les correctifs Windows quand la divulgation va à la vitesse de l'IA, est une étude descriptive sur 36 mois des CVE Windows et Office, de la cadence de publication des applications et des délais de remédiation. Il a été rédigé par Ryan Mangan chez EfficientEther. C'est une recherche rédigée par l'entreprise, et elle n'a pas été évaluée par des pairs. Elle est publiée sous forme de prépublication en libre accès sur Zenodo sous licence CC BY 4.0. L'édition EtherApps Forge, qui reprend la même recherche dans une mise en page soignée, est gratuite depuis la page d'inscription.

Ce que l'étude a constaté

Voici les chiffres clés, tels que les énonce l'article.

• 2 438 CVE Windows et Office sur la dernière année complète, contre 941 l'année précédente et 679 l'année d'avant (+38,6 %, puis +159,1 %). L'article constate que la hausse se concentre entre le milieu et la fin de 2026.
• Un score CVSS v3 moyen globalement inchangé, à 7,43, 7,37 et 7,28. Les CVE notées 9,0 ou plus sont passées de 11 à 60 entre les deux dernières années complètes : une moyenne stable correspond donc tout de même à beaucoup plus de divulgations graves en valeur absolue.
• 18 CVE Windows avec un crédit de découverte assistée par l'IA documenté. Il s'agit d'un ensemble d'exemples vérifiés à la source. Ce n'est pas une estimation de la part de l'IA dans les découvertes.
• Jours de publication sur un an : 69 pour Microsoft Edge, 64 pour Chrome et 61 pour Visual Studio Code. Trois grands éditeurs ont annoncé des cycles de publication plus courts pendant l'étude.
• Aucune moyenne de délai de correction sur l'ensemble de la cohorte. Aucune des 4 058 CVE de la fenêtre complète de 36 mois n'a de couple de dates notification-correction structuré exploitable.

Comment lire les chiffres

L'étude est descriptive, et ses limites comptent autant que ses résultats.

• Elle n'affirme aucune cause. La conclusion de l'article est que l'IA contribue à l'évolution, mais sa part, un multiplicateur universel de la vitesse de découverte et toute variation proportionnelle du risque de compromission restent non mesurés.
• La date est une date de signalement Microsoft. Chaque CVE est datée par sa première révision valide dans les documents mensuels de mises à jour de sécurité de Microsoft. C'est un indicateur de la divulgation, pas une date de découverte observée ni une date d'installation du correctif chez le client.
• Octobre 2026 est un mois partiel. Il court jusqu'à la date limite des preuves, le 26 octobre, et il est présenté séparément des trois années complètes.
• Le panel de publications est volontairement petit. Six flux de publication d'applications illustrent différents modèles de packaging. Ils ne représentent pas l'ensemble des logiciels Windows, et un jour de publication correspond à une disponibilité, pas à un déploiement obligatoire.
• Le volume ne se convertit pas en charge de travail. La hausse des divulgations ne peut pas se traduire par une augmentation de même pourcentage du nombre de packages, de téléchargements, de redémarrages ou d'heures de personnel.

L'article déclare aussi ses intérêts. EfficientEther développe et vend EtherApps Forge, et l'étude n'évalue ni EtherApps Forge ni aucun autre produit commercial.

À qui cela s'adresse

Si vous gérez les correctifs, la gestion des terminaux ou le packaging d'applications dans une organisation de 50 à 600 utilisateurs, ou si vous le faites pour plusieurs clients en tant que MSP, l'article vous apporte trois éléments à emporter dans votre prochaine discussion de planification.

1. Une base de référence défendable. Des cohortes d'années complètes aux règles explicites, pour que vous cessiez de citer des totaux bruts de CVE qui mélangent produits, dates et mois partiels.
2. Une raison de séparer la réception des publications du travail de packaging. L'article propose une réception continue des publications, des voies distinctes pour les flux de publication rapides, prévisibles et épars, la preuve que chaque mise à jour est en cours d'exécution, et l'automatisation de l'exécution, tandis que les personnes restent responsables de ce qui est testé, de ce qui compte comme une réussite et des exceptions acceptables.
3. Des preuves que vous pouvez transmettre. Une citation et un supplément analytique permettent à un comité des changements, à un responsable financier ou à un client de vérifier les chiffres plutôt que de nous croire sur parole.

La place d'EtherApps Forge

EtherApps Forge capture les applications Windows sur les machines où elles s'exécutent déjà et les transforme en packages MSIX, MSI, Intune et App Attach signés pour Microsoft Intune, Windows 365 et Azure Virtual Desktop. C'est le volet packaging du travail que décrit cette recherche. Si vous cherchez à déterminer quelle part d'un flux de publication éditeur plus rapide votre équipe doit empaqueter de façon centralisée, le packaging et le déploiement MSIX et la modernisation et la migration des applications présentent la marche à suivre. Notre recherche précédente sur 3 261 cas d'empaquetage MSIX automatisé et sur l'état du packaging d'applications en 2026 complète cette étude.

À citer comme : Mangan, R. (2026). Windows Patching, AI-Assisted Discovery and Application Assurance: A 36-Month Descriptive Study of Windows and Office CVEs, Application Release Cadence and Remediation Timing. Zenodo. https://doi.org/10.5281/zenodo.23780566

Obtenez la recherche sur les correctifs Windows et apportez les chiffres à votre prochaine réunion de planification des correctifs et du packaging.