Le jour où un correctif sort, le défaut qu’il répare devient public et exploitable. Ce que contient réellement une mise à jour, combien de temps dure la fenêtre d’exposition, et ce que l’Europe oblige désormais à livrer.
Un correctif de sécurité n’anticipe pas un danger : il répare un défaut déjà découvert, et sa publication rend ce défaut public. En comparant la version corrigée à la précédente, un attaquant localise la faille en quelques heures. Votre risque augmente donc le jour de la sortie du correctif, pas avant. Un paquet de mise à jour mélange trois choses que le règlement européen d’écoconception distingue depuis juin 2025 : mises à jour de sécurité, correctives et de fonctions. Seules les deux premières ferment des portes.
Il est 22 h 40. Une bannière annonce qu’une mise à jour est prête et réclame un redémarrage de huit minutes. Vous appuyez sur « Plus tard », comme les quatre fois précédentes. Le lendemain la bannière revient, et le raisonnement reste le même : rien ne va mal, donc rien ne presse.
Ce raisonnement repose sur une idée fausse. On imagine qu’un correctif anticipe un danger encore théorique, comme un vaccin. C’est l’inverse. Un correctif de sécurité répare un défaut déjà trouvé, déjà documenté, et sa publication rend ce défaut public. Le compte à rebours ne démarre pas le jour où un attaquant découvre la faille : il démarre le jour où l’éditeur la corrige.
Deuxième idée fausse : qu’une mise à jour serait un objet unique. Le paquet que votre appareil télécharge mélange des choses de nature très différente, que le droit européen distingue désormais nommément. Certaines ferment des portes, d’autres déplacent des boutons. Les traiter de la même façon, c’est soit tout repousser, soit tout subir.
Un éditeur qui corrige un défaut diffuse une nouvelle version du fichier concerné. La version précédente, elle, est encore sur des millions de machines et dans les archives de téléchargement. Il suffit donc de comparer les deux, ce que des outils font automatiquement : la différence entre les deux binaires pointe la fonction modifiée, et la nature de la modification indique le type de défaut réparé, dépassement de mémoire tampon, contrôle d’accès manquant, validation d’entrée absente.
De cette localisation à un code d’attaque fonctionnel, le délai varie avec la complexité du produit. Pour un composant très déployé et bien documenté, un serveur web, un système de fichiers réseau, un navigateur, l’ordre de grandeur constaté est de quelques jours, parfois moins de vingt-quatre heures. Les campagnes d’exploitation de masse suivent, avec des balayages automatisés qui parcourent l’ensemble des adresses accessibles.
La conséquence est contre-intuitive et vaut d’être posée clairement : votre exposition augmente au moment de la publication du correctif. La veille, la faille existait mais restait connue de quelques personnes. Le lendemain, elle est décrite dans un bulletin public, avec un identifiant, un score de gravité et souvent une preuve de concept. Repousser l’installation ne prolonge pas une situation stable, cela vous fait entrer dans une fenêtre qui n’existait pas la semaine précédente.
Depuis le 20 juin 2025, le règlement européen d’écoconception applicable aux smartphones et aux tablettes ne parle plus de « mise à jour » au singulier. Il définit trois catégories, avec des obligations différentes pour chacune.
| Catégorie | Ce qu’elle fait | Délai maximal imposé au fabricant | Ce que vous risquez à la sauter |
|---|---|---|---|
| Mise à jour de sécurité | Ferme une faille exploitable | 4 mois après la diffusion du correctif par le fournisseur du système | Compromission par une faille publique et documentée |
| Mise à jour corrective | Répare un dysfonctionnement, un bug, une erreur | 4 mois | Pannes et instabilités persistantes |
| Mise à jour de fonctions | Ajoute ou modifie des fonctionnalités | 6 mois | Rien du point de vue de la sécurité |
Le délai se compte à partir de la diffusion publique du code source de la mise à jour, ou, si ce code n’est pas diffusé, à partir du moment où la même mise à jour a été publiée sur un autre produit de la même marque. Cette seconde branche vise une pratique précise : servir d’abord le modèle haut de gamme et laisser les modèles d’entrée de gamme attendre un an. Le règlement impose aussi que ces mises à jour soient gratuites et disponibles pour toutes les unités du modèle, pendant au moins cinq ans après la date à laquelle le dernier exemplaire a été mis sur le marché.
Un même paquet peut combiner les trois catégories, et c’est le cas général. C’est précisément ce mélange qui rend la décision difficile : refuser la nouvelle interface revient à refuser en même temps les correctifs.
Entre le moment où un défaut existe et celui où votre appareil est protégé, sept étapes se succèdent. Vous n’en contrôlez qu’une.
| Étape | Qui agit | Ordre de grandeur |
|---|---|---|
| Le défaut est introduit dans le code | L’éditeur | Peut dormir des années |
| Découverte par un chercheur ou un attaquant | Un tiers | Imprévisible |
| Signalement à l’éditeur | Le chercheur | Immédiat, si la découverte est honnête |
| Développement du correctif | L’éditeur | Délai de divulgation coordonnée de l’ordre de 90 jours |
| Publication du correctif et du bulletin | L’éditeur | Date fixe : deuxième mardi du mois chez Microsoft, début de mois pour le bulletin Android |
| Rétro-ingénierie et code d’attaque | Les attaquants | Quelques heures à quelques jours |
| Installation sur votre appareil | Vous | La seule variable que vous tenez |
Ce tableau explique pourquoi les éditeurs groupent leurs correctifs à date fixe. Un calendrier prévisible permet aux administrateurs de préparer le déploiement, mais il donne aussi rendez-vous aux attaquants. Les campagnes d’exploitation démarrent souvent dans les heures qui suivent la publication mensuelle.
Sur Android, deux informations circulent et sont constamment confondues. La version d’Android désigne la version majeure du système. Le niveau de correctif de sécurité est une date, du type 1 août 2026, qui indique jusqu’à quel bulletin mensuel les correctifs ont été intégrés. Un téléphone peut afficher la dernière version majeure et porter un niveau de correctif vieux de huit mois. L’inverse existe aussi : un modèle resté sur une version ancienne mais correctement entretenu porte un niveau de correctif récent, et c’est bien plus protecteur.
La date se trouve dans les réglages, à la rubrique d’information sur l’appareil, sous « niveau du correctif de sécurité » ou « mise à jour de sécurité Android ». Google publie un bulletin mensuel qui définit deux niveaux, l’un au premier jour du mois, l’autre au cinquième, le second incluant en plus les correctifs des composants matériels fournis par les fabricants de puces.
Chez Apple, l’équivalent est le numéro de version d’iOS, complété depuis 2023 par les réponses de sécurité rapides, ces correctifs marqués d’une lettre en suffixe qui s’installent sans changer de version majeure. Sur un ordinateur, un système lent n’est pas nécessairement un système obsolète, et les causes de ralentissement se trient dans un ordre précis, détaillé par le diagnostic par ressource. Le même travail existe côté mobile, avec les cinq causes réelles d’un téléphone lent.
Un logement contient aujourd’hui une dizaine d’appareils qui exécutent du code, et l’attention se concentre sur les deux qui affichent des bannières. Les autres se taisent.
Depuis l’ordonnance du 29 septembre 2021, qui transpose deux directives européennes de 2019, le code de la consommation traite les mises à jour comme une composante de la conformité du bien. La sous-section consacrée aux mises à jour impose au vendeur professionnel de fournir celles qui sont nécessaires au maintien de la conformité, et d’en informer l’acheteur.
La durée dépend du contrat. Pour un bien à éléments numériques dont le contenu est fourni en continu, elle est d’au moins deux ans à compter de la délivrance, et de toute la durée prévue si le contrat va au-delà. Pour une fourniture ponctuelle, la loi retient « la période à laquelle le consommateur peut légitimement s’attendre », formule volontairement souple qui se lit à la lumière du prix payé et de la nature du produit.
Le fabricant, de son côté, doit communiquer au vendeur la durée pendant laquelle les mises à jour logicielles restent compatibles avec les fonctionnalités du bien, et le vendeur doit la mettre à disposition de l’acheteur. Cette information figure de plus en plus souvent à côté de l’indice de réparabilité sur les fiches produit. Quand elle expire, la question change de nature et devient celle de la fin de support.
Pour une structure professionnelle, l’enjeu n’est plus contractuel mais réglementaire : le RGPD impose des mesures de sécurité adaptées, et un système laissé sans correctif pendant des mois est un manquement caractérisé. C’est l’un des premiers points examinés dans le socle de sécurité d’une petite structure. C’est aussi le facteur qui revient le plus souvent dans les dossiers de rançongiciel, dont les chaînes d’infection démarrent presque toujours sur un composant non corrigé.
Le succès du discours sur les mises à jour a créé son propre risque. Une page web qui affiche « votre navigateur est obsolète, cliquez pour le mettre à jour » exploite exactement le réflexe que la prévention a installé. Les variantes récentes vont plus loin : une fausse page de vérification demande de copier un texte et de le coller dans une fenêtre du système, ce qui exécute directement une commande malveillante.
La règle qui écarte l’ensemble de ces scénarios tient en une phrase : une mise à jour, on va la chercher, on ne la reçoit pas. Elle se déclenche depuis les réglages du système, depuis le magasin d’applications officiel ou depuis le menu d’aide du logiciel, jamais depuis une page web, une pièce jointe ou un message. La même logique s’applique au téléchargement d’un logiciel, où le faux bouton de téléchargement reste l’attrape le plus efficace. Notre quiz de reconnaissance d’arnaque reprend plusieurs de ces écrans.
Le correctif ferme un défaut de code. Il ne touche à rien de ce qui relève de la configuration, de l’usage ou du droit d’accès que vous avez vous-même accordé.
C’est aussi la réponse à la question de la protection complémentaire : un système à jour rend la protection antivirus intégrée nettement plus efficace, parce qu’elle n’a plus à rattraper des failles connues. À l’inverse, aucun produit de sécurité ne compense durablement un système non corrigé, et les signes d’infection apparaissent souvent sur des machines dont le retard de correctifs se compte en mois.
Devant une bannière de mise à jour, ne vous demandez pas si l’appareil fonctionne correctement aujourd’hui. Demandez-vous depuis combien de jours le correctif est public, parce que c’est la durée exacte pendant laquelle la faille qu’il répare est décrite noir sur blanc dans un bulletin que tout le monde peut lire. Si la réponse dépasse une semaine, l’argument du « plus tard » a déjà cessé d’être valable.
Pour un correctif de sécurité, non : l’attente vous laisse dans une fenêtre qui s’ouvre le jour de la publication et que des outils automatisés balaient en permanence. Pour une mise à jour majeure de système, qui change des fonctions et des pilotes, attendre une à deux semaines a du sens si votre appareil fait tourner du matériel ou un logiciel professionnel sensible. La bonne pratique consiste à séparer les deux : correctifs de sécurité en automatique, versions majeures en différé maîtrisé. Voir ce qu’il faut faire quand une mise à jour casse quelque chose.
Pas forcément. Le message « votre système est à jour » signifie seulement qu’aucune mise à jour n’est proposée pour ce modèle, ce qui est aussi le cas d’un appareil sorti du support. Cherchez la date du niveau de correctif de sécurité dans les informations de l’appareil. Si cette date a plus de six mois, le téléphone reçoit peut-être encore des correctifs applicatifs, mais plus les correctifs du système. C’est le signal d’une fin de support déjà entamée.
Une mise à jour majeure peut ralentir un appareil ancien, parce qu’elle ajoute des fonctions calibrées sur du matériel plus récent, et parce que la réindexation des fichiers occupe le processeur pendant un ou deux jours après l’installation. Les correctifs de sécurité, eux, sont petits et n’ajoutent rien. Depuis juin 2025, le règlement européen d’écoconception oblige le fabricant à rétablir au moins les performances antérieures, gratuitement, quand une mise à jour de fonctions les dégrade.
Oui, et c’est l’étape la plus souvent sautée. Un correctif qui touche le noyau du système, une bibliothèque partagée ou le navigateur n’est actif qu’après le rechargement du composant concerné. Un navigateur laissé ouvert pendant trois semaines a téléchargé ses correctifs et n’en applique aucun. Le redémarrage n’est pas une formalité administrative, c’est le moment où le code corrigé remplace réellement le code vulnérable en mémoire.
Une vraie mise à jour ne s’annonce jamais par une page web, une fenêtre surgissante ni un courriel. Elle apparaît dans les réglages du système ou dans le magasin d’applications, et nulle part ailleurs. Les fausses alertes « votre navigateur est obsolète » ou « votre appareil est infecté » servent à faire installer un programme malveillant, parfois à faire coller une commande dans un terminal. La règle est simple : on va chercher une mise à jour, on ne la reçoit pas.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Téléphone, ordinateur, batterie, stockage, mises à jour : pourquoi ça rame et quoi faire.