Ep. Spécial 788 : Créer un VOC et lui donner sa place dans une ETI

👥 Cas étudié : 1 000 postes, 500 serveurs (250 sur site, 250 dans Azure, AWS et GCP), filiales dans plusieurs pays, un RSSI et un alternant, pas de SOC interne. Trois rôles : responsable du VOC, analyste vulnérabilités, ingénieur outillage et automatisation. Priorisation par catalogue KEV, score EPSS version 4, exposition sur Internet et criticité métier.

🏛️ Place du VOC : il prescrit et pilote, les équipes d’exploitation corrigent. Rattachement au RSSI, mandat donné par une charte signée par la direction générale avec un engagement de capacité de la DSI, propriétaire nommé pour chaque actif, criticité fixée par les métiers, correspondant par filiale, délais de correction inscrits dans les contrats des prestataires.

🪟 Mise en situation sur le Patch Tuesday d’octobre 2026 (vulnérabilités rapportées par Security Affairs, entreprise fictive) : CVE-2026-96951, contournement de Mark of the Web dans le Shell de Windows, exploitée activement, CVSS 8,8 ; 59 vulnérabilités potentiellement wormable, notamment dans DHCP, DNS et Remote Desktop Gateway ; CVE-2026-102866, SharePoint, exploitable sans authentification, CVSS 8,1 ; CVE-2026-65674, exécution de code à distance dans SQL Server, CVSS 8,8.

💶 Budget : environ 285 000 euros de masse salariale chargée par an. Licences selon l’existant : environ 24 000 dollars par an pour le module premium de gestion des vulnérabilités Defender sur 1 000 utilisateurs, environ 90 000 dollars pour Defender for Servers Plan 2 sur 500 serveurs, ou 25 000 à 50 000 dollars pour Qualys sur 1 500 actifs selon des estimations tierces. La hausse de la capacité de correction relève du budget de la DSI.

📅 À six mois : charte signée, inventaire consolidé avec taux de couverture, surface exposée identifiée, veille et premier tableau de bord. À un an : délai de correction des vulnérabilités exploitées suivi contre le repère de 43 jours, correspondant actif par filiale, dérogations datées, procédure de divulgation coordonnée (RFC 9116). Cadre : règlement d’exécution (UE) 2024/2690 pour NIS2, règlement délégué (UE) 2024/1774 pour DORA ; examen du projet de loi français de transposition de NIS2 de nouveau retiré de l’ordre du jour le 6 octobre 2026.

📈 Selon Security Affairs, le Patch Tuesday de Microsoft du 13 octobre 2026 corrige plus de 1 400 CVE, contre 164 en avril 2026 selon Infosecurity Magazine. SOCRadar compte 74 645 CVE publiées entre janvier et mi-octobre 2026, contre 48 163 sur toute l’année 2025. Selon le premier bilan de Project Glasswing publié par Anthropic le 22 mai 2026, environ 530 vulnérabilités open source élevées ou critiques avaient été signalées aux mainteneurs, dont 75 corrigées à cette date.

🧱 HackerOne suspend l’Internet Bug Bounty le 27 mars 2026 en invoquant l’écart entre découvertes et capacité de correction. Mandiant (M-Trends 2026) estime le délai moyen d’exploitation à moins sept jours, et VulnCheck relève que près de 29 % des vulnérabilités exploitées en 2025 l’étaient au plus tard le jour de la publication de leur CVE. Verizon (DBIR 2026) : exploitation de vulnérabilités premier vecteur d’accès initial à 31 %, 26 % des vulnérabilités KEV entièrement corrigées, délai médian de correction passé de 32 à 43 jours.

Sources :

• Microsoft Patch Tuesday Sets New Record with 1,415 CVEs in October 2026 Updates. Security Affairs : https://securityaffairs.com/?p=200953
• Microsoft Shatters Patch Tuesday Record With 974 CVE Fixes in September 2026. Infosecurity Magazine : https://infosecurity-magazine.com/news/microsoft-patch-tuesday-record
• CVE Radar, CVE trends. SOCRadar : https://socradar.io/free-tools/cve-radar/trends
• Microsoft expects more Windows security updates from AI-discovered flaws. BleepingComputer : https://www.bleepingcomputer.com/news/microsoft/microsoft-expects-more-windows-security-updates-from-AI-discovered-flaws/
• Project Glasswing: An initial update. Anthropic : https://www.anthropic.com/research/glasswing-initial-update
• Project Glasswing. Anthropic : https://www.anthropic.com/glasswing
• AI-Led Remediation Crisis Prompts HackerOne to Pause Bug Bounties. Dark Reading : https://darkreading.com/application-security/ai-led-remediation-crisis-prompts-hackerone-pause-bug-bounties
• M-Trends 2026: Data, Insights, and Strategies From the Frontlines. Google Cloud, Mandiant : https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026
• State of Exploitation 2026. VulnCheck : https://www.vulncheck.com/blog/state-of-exploitation-2026
• Verizon DBIR: Vulnerability exploitation is the dominant initial access vector. Help Net Security : https://www.helpnetsecurity.com/2026/05/20/verizon-2026-dbir-findings/
• Disrupting the first reported AI-orchestrated cyber espionage campaign. Anthropic : https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf
• Le préavis Syntec : règles et délais. Alan : https://alan.com/fr-fr/ressources/guides-pratiques/a/preavis-syntec
• Network Reporting. The Shadowserver Foundation : https://www.shadowserver.org
• CISA extends CVE program contract with MITRE. The Record : https://therecord.media/cisa-extends-cve-program-contract-with-mitre
• Le financement du programme CVE finalement pérennisé. Le Monde Informatique : https://www.lemondeinformatique.fr/actualites/lireamp-le-financement-du-programme-cve-finalement-perennise-99593.html
• As US vuln-tracking falters, EU enters with its own security bug database. The Register : https://theregister.com/2025/05/13/eu_security_bug_database
• 1H 2025 State of Exploitation Report. VulnCheck : https://wwv.vulncheck.com/1h2025-state-of-exploitation
• Introducing EPSS v4. Empirical Security : https://research.empiricalsecurity.com/research/introducing-epss-version-4
• CISA KEV catalog: a working sysadmin’s guide to actually using it. DEV Community : https://dev.to/adam_lewandowski_59674796/cisa-kev-catalog-a-working-sysadmins-guide-to-actually-using-it-2o15
• Des salaires toujours élevés pour les profils IT qualifiés en 2026. Le Monde Informatique : https://www.lemondeinformatique.fr/actualites/lire-des-salaires-toujours-eleves-pour-les-profils-it-qualifies-en-2026-97818.html
• Salaire cybersécurité 2026. Licorne Society : https://www.licornesociety.com/blog/salaire-cybersecurite
• Charges patronales 2026 : taux, calcul et coût réel. Swapn : https://www.swapn.fr/blog/charges-patronales
• Microsoft Defender Vulnerability Management: Core vs the Add-on, and What Each Costs. O365HQ : https://o365hq.com/blog/microsoft-defender-vulnerability-management-core-vs-add-on-what-you-get-and-what-it-costs
• Do Defender for Endpoint license pricing differ whether the endpoint is a server or a client machine? Microsoft Learn : https://learn.microsoft.com/en-us/answers/questions/1923421/do-defender-for-endpoint-license-pricing-differ-wh
• Best Vulnerability Management Software 2026. CheckThat.ai : https://checkthat.ai/answers/what-is-the-best-vulnerability-management-software
• OpenVAS Scanner. Greenbone : https://github.com/greenbone/openvas-scanner
• Vulnerability-Lookup. CIRCL : https://github.com/vulnerability-lookup/vulnerability-lookup
• IBM: one in four data breaches is enabled by AI. Silicon Saxony : https://silicon-saxony.de/en/ibm-one-in-four-data-breaches-is-enabled-by-ai-data-breaches-cost-german-companies-an-average-of-4-25-million-euros/
• RFC 9116, A File Format to Aid in Security Vulnerability Disclosure. IETF : https://www.rfc-editor.org/rfc/rfc9116
• Gestion des vulnérabilités NIS 2 au titre de l’article 21(2)(e). nisd2.eu : https://nisd2.eu/fr/wiki/implementation/nis2-vulnerability-management
• Réglementation NIS2 : ce qu’il faut savoir pour être en règle. Docusign : https://www.docusign.com/fr-fr/blog/reglementation-nis2-ce-quil-faut-savoir-pour-etre-en-regle
• Article 10, Vulnerability and patch management, règlement délégué 2024/1774. Advisera : https://advisera.com/cdr-2024-1774/vulnerability-and-patch-management/
• La CSNP appelle à l’examen du projet de loi Résilience dans les plus brefs délais. CSNP : https://next.ink/wp-content/uploads/2026/03/1773843284755.pdf
• NIS 2 : l’Assemblée nationale reporte de nouveau l’examen du projet de loi Résilience, sans nouvelle date. Leto : https://www.leto.legal/news/assemblee-nationale-report-projet-loi-resilience-nis2-octobre-2026

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #VulnerabilityManagement #PatchTuesday #Microsoft #ProjectGlasswing #Mythos #KEV #EPSS #SBOM #NIS2 #DORA #RSSI #DSI #CVE-2026-96951 #CVE-2026-102866 #CVE-2026-65674 #RadioCSIRT