Points clés
- Un système non mis à jour est un système dont l'exposition augmente chaque jour sans action de l'attaquant : les nouvelles CVE s'accumulent sans possibilité de correction si le composant est en fin de vie.
- Les systèmes legacy représentent souvent la part la plus critique du patrimoine applicatif — et la moins couverte par le patch management.
- La migration d'un système obsolète est une décision d'investissement : la direction doit arbitrer entre le coût de la migration et le coût du risque résiduel croissant.
- Les compensations techniques (segmentation, supervision renforcée) peuvent réduire temporairement le risque mais ne le suppriment pas.
La question des systèmes non mis à jour est souvent présentée comme un problème technique, relevant des équipes IT. Elle est en réalité une question de gouvernance : la décision de maintenir un système en production au-delà de son cycle de support — ou de ne pas financer sa migration — est une décision qui engage la tolérance au risque de l'organisation et, en cas d'incident, la responsabilité de ses dirigeants.
La mécanique de l'exposition croissante
Lorsqu'un composant logiciel atteint sa fin de vie (End of Life), son éditeur cesse d'émettre des correctifs de sécurité. Les chercheurs et les acteurs malveillants continuent, eux, de découvrir de nouvelles vulnérabilités affectant ce composant. L'accumulation de CVE non corrigeables crée une exposition structurellement croissante : plus le système reste en production après sa fin de vie, plus la liste des failles exploitables s'allonge.
Windows Server 2012 a atteint sa fin de vie en octobre 2023. Windows Server 2008 en janvier 2020. Ces systèmes, encore présents dans de nombreux environnements de production, représentent des cibles de choix pour les attaquants qui exploitent activement des vulnérabilités connues non corrigeables.
Les systèmes legacy : criticité maximale, protection minimale
Par une ironie structurelle, les systèmes les plus anciens sont souvent les plus critiques pour l'activité : ils hébergent des applications métier développées sur mesure, des processus intégrés depuis des années, des données historiques dont la migration est complexe. Leur criticité métier est élevée, leur protection technique est faible, et leur remplacement est coûteux. Ce triangle crée une pression à l'inaction qui ne peut être résolue qu'au niveau de la direction.
L'arbitrage direction : migration vs. risque résiduel
La décision de maintenir un système legacy en production doit être documentée comme une décision de gestion du risque, pas comme une inaction par défaut. Elle implique : une quantification du risque résiduel (probabilité d'exploitation × impact potentiel), une évaluation des compensations techniques disponibles (segmentation réseau, supervision renforcée, restriction des accès), et un engagement sur un calendrier de migration avec les ressources associées. Sans cette formalisation, l'organisation est dans une situation d'exposition non gouvernée.
Le rapport de la CISA sur la sécurité des infrastructures électorales a documenté que plusieurs États utilisaient des systèmes de gestion électorale fonctionnant sur des systèmes d'exploitation en fin de vie, notamment Windows 7. Des fonds fédéraux ont été alloués pour financer les migrations, avec des résultats variables selon les États. La CISA a publié des guides spécifiques sur la gestion du risque associé aux systèmes legacy dans les infrastructures critiques.
Le BSI (Bundesamt für Sicherheit in der Informationstechnik) a documenté dans son rapport annuel sur la cybersécurité industrielle que la majorité des incidents affectant des systèmes de contrôle industriel (ICS/SCADA) exploitaient des vulnérabilités sur des composants en fin de vie. Le BSI a mis en place un programme d'accompagnement des opérateurs d'infrastructure critique pour structurer leurs plans de migration et définir des compensations techniques pendant la période de transition.
L'Australian Cyber Security Centre (ACSC) a publié des alertes spécifiques sur les risques liés aux systèmes médicaux legacy dans les hôpitaux australiens, notamment les systèmes d'imagerie fonctionnant sur des OS en fin de vie. Plusieurs incidents d'exploitation documentés ont conduit le gouvernement australien à financer un programme de migration accélérée pour les établissements publics et à publier des exigences minimales de sécurité pour les équipements médicaux connectés.