Logiciels en fin de support : inventorier, repérer et remplacer sans casse dans votre PME

Ce qui vient de s’arrêter, et ce qui suit

Office LTSC 2021 suit la politique de cycle de vie fixe de Microsoft : cinq ans de support standard, sans phase de support étendu. Le 13 octobre 2026, cette période s’est terminée pour Office LTSC 2021, Visio LTSC 2021 et Project LTSC 2021, ainsi que pour la version Office 2021 vendue aux particuliers et aux petites entreprises. Les applications continuent de s’ouvrir, mais Microsoft ne publie plus de mises à jour, de correctifs de sécurité ni d’assistance pour elles. Contrairement à Windows 10, aucun programme de mises à jour de sécurité étendues (ESU) n’est proposé. Microsoft oriente vers Microsoft 365 Apps ou, pour les postes qui ne peuvent pas passer par le cloud, vers Office LTSC 2024, dont le support court jusqu’en octobre 2029.

D’autres échéances concernent les mêmes entreprises :

• Windows 10 : le support a pris fin le 14 octobre 2025 pour les éditions Famille et Professionnel. Un programme de mises à jour de sécurité étendues existe pour les particuliers, que Microsoft a prolongé jusqu’au 12 octobre 2027, et un programme payant pour les organisations, souscrit année par année pendant trois ans au plus. Ces mises à jour ne couvrent que la sécurité, sans nouvelles fonctions.
• Extensions WordPress : la faille CVE-2026-85097 de l’extension Bricksforge, qui touche les versions 3.1.8.9 et antérieures, est exploitée depuis le 7 octobre 2026 selon la société de sécurité Patchstack. Elle permet à un attaquant non authentifié d’envoyer un fichier sur le site puis d’y exécuter du code.
• Modèles d’IA : OpenAI a annoncé le retrait de son API, le 14 janvier 2027, de plusieurs modèles dont GPT-4o, GPT-4o mini et GPT-4.1, ainsi que des versions personnalisées construites sur eux. Les outils qui les appellent cesseront de fonctionner s’ils n’ont pas changé de modèle d’ici là.

Pourquoi un logiciel qui marche encore devient un risque

Tous les logiciels comportent des failles. Tant qu’un éditeur assure le support, il publie des correctifs lorsqu’elles sont découvertes ; Cybermalveillance.gouv.fr rappelle que ces mises à jour servent précisément à empêcher qu’une faille soit utilisée pour prendre le contrôle d’un appareil. Après la fin du support, les failles continuent d’être trouvées, et parfois publiées, mais plus aucun correctif n’arrive. Le logiciel ne tombe pas en panne : il devient simplement de plus en plus facile à attaquer.

Le risque dépend de ce que fait le logiciel. Word, Excel et Outlook ouvrent chaque jour des pièces jointes venues de l’extérieur, ce qui en fait une porte d’entrée classique. Un site web est exposé en permanence à des robots qui testent les failles connues des extensions : dans le cas de Bricksforge, Patchstack a relevé des tentatives venant de dizaines d’adresses différentes dans les deux jours suivant le début de l’exploitation. Un modèle d’IA retiré pose un autre problème : l’outil ne devient pas vulnérable, il s’arrête net, avec par exemple un chatbot ou un tri d’e-mails qui ne répond plus.

Les autorités de cybersécurité donnent la même consigne de fond. Le Centre canadien pour la cybersécurité recommande de remplacer, lorsque c’est possible, les produits qui ne sont plus pris en charge et, à défaut, de prévoir leur mise à jour manuelle ou leur isolement. Le guide d’hygiène informatique de l’ANSSI fait de la connaissance précise de son parc et du suivi des mises à jour de chaque composant des mesures de base.

Étape 1 : faire l’inventaire de vos logiciels en une demi-journée

Dans une TPE, il n’est pas nécessaire d’acheter un outil d’inventaire pour commencer. Un tableau partagé suffit, à condition de ne pas oublier les logiciels « invisibles » : ceux que personne n’ouvre directement mais dont l’activité dépend. Pour chaque ligne, notez le nom du logiciel, sa version, l’endroit où il tourne, la personne qui s’en occupe (salarié, prestataire, éditeur), la date de fin de support et l’usage qui en dépend.

Les catégories à passer en revue :

• Les systèmes des postes : version de Windows ou de macOS sur chaque ordinateur, y compris les portables peu utilisés et le poste de l’accueil.
• La bureautique : version d’Office installée sur chaque poste, licences perpétuelles comprises, et abonnements Microsoft 365 ou équivalents.
• Les logiciels métier : comptabilité, paie, caisse, gestion commerciale, logiciels de devis ou de planning, y compris ceux installés une fois pour toutes il y a des années.
• Le site internet : CMS (WordPress ou autre), thème, liste des extensions actives, et nom de la personne qui a les accès d’administration.
• Les automatisations et outils d’IA : chatbot du site, scénarios Zapier, Make ou n8n, scripts maison, et pour chacun le service et le modèle d’IA appelés.
• Les services en ligne : outils d’e-mailing, de prise de rendez-vous, de stockage, avec leur offre et leurs conditions d’évolution.

Étape 2 : repérer ce qui n’est plus corrigé

Une fois la liste établie, il reste à trouver la date de fin de support de chaque élément. La source la plus fiable est toujours l’éditeur, mais plusieurs vérifications rapides couvrent l’essentiel :

• Office : dans Word ou Excel, le menu Fichier puis Compte affiche le nom exact du produit. « Office 2021 » ou « Office LTSC 2021 » signifie qu’il n’y a plus de correctifs depuis le 13 octobre 2026.
• Windows : les paramètres du système indiquent l’édition et la version. Un poste sous Windows 10 qui n’est inscrit à aucun programme de mises à jour étendues ne reçoit plus de correctifs.
• WordPress : sur le répertoire officiel des extensions, une extension qui n’a pas été testée avec les trois dernières versions majeures de WordPress porte un avertissement, et une extension fermée affiche une alerte indiquant qu’elle n’est plus disponible. Ce sont des signaux d’abandon à prendre au sérieux. Pour une extension payante comme Bricksforge, il faut consulter le journal des versions de l’éditeur.
• IA : la page des dépréciations d’OpenAI liste les modèles retirés et leurs dates ; les autres fournisseurs publient des pages équivalentes. Demandez à votre prestataire ou à l’éditeur de votre outil quel modèle est réellement appelé.
• Logiciels métier : demandez par écrit à l’éditeur jusqu’à quand votre version est maintenue et sur quels systèmes elle est compatible. Le site communautaire endoflife.date recense aussi des dates de fin de support pour de nombreux produits, à recouper avec l’annonce de l’éditeur.

Étape 3 : prioriser selon l’exposition, pas selon l’âge

Tout ne peut pas être remplacé en même temps, et ce n’est pas nécessaire. Le bon critère n’est pas l’ancienneté du logiciel mais ce qu’un attaquant ou une panne pourrait en tirer. Pour chaque élément, fixez une date cible et un responsable. Une échéance connue, comme le 14 janvier 2027 pour les modèles GPT-4o et GPT-4.1, se planifie à rebours : choix de la solution, tests, bascule, puis une marge de quelques semaines en cas d’imprévu.

Un ordre de priorité raisonnable pour une petite structure :

• D’abord ce qui est exposé à internet et non corrigé : site web et ses extensions, accès à distance, logiciels qui reçoivent des fichiers de l’extérieur.
• Ensuite ce qui ouvre des contenus venus de l’extérieur sur les postes : messagerie, bureautique, navigateur, lecteur de PDF.
• Puis ce qui détient des données sensibles : clients, paie, comptabilité, données de santé le cas échéant.
• Enfin ce qui a une date d’arrêt ferme : un service ou un modèle d’IA retiré à une date annoncée cessera de fonctionner, faille ou pas.
• Les logiciels isolés, sans connexion et sans données sensibles, peuvent attendre, à condition de le décider et de le noter.

Étape 4 : remplacer sans tout casser

La plupart des incidents lors d’un remplacement ne viennent pas du nouveau logiciel mais de ce qui en dépendait sans que personne le sache : une macro Excel, un modèle de facture Word, un export vers le logiciel comptable, une extension qui fait fonctionner un formulaire. Avant de changer quoi que ce soit, listez ces dépendances avec les personnes qui utilisent l’outil au quotidien.

Pour Office 2021, le choix se fait entre un abonnement Microsoft 365, mis à jour en continu, et une licence Office LTSC 2024, supportée jusqu’en octobre 2029 mais à remplacer à nouveau à cette échéance. Il dépend du nombre de postes, de l’usage des services en ligne et de vos contraintes : il mérite d’être posé avec votre prestataire informatique plutôt que décidé dans l’urgence. Pour Windows 10, la question est souvent celle du matériel : certains postes ne peuvent pas passer à Windows 11 et leur remplacement se planifie sur le budget.

Quelques règles valent pour tous les remplacements :

• Sauvegarder avant toute opération, et vérifier que la sauvegarde se restaure.
• Tester sur un poste pilote ou une copie du site (environnement de préproduction) avant de généraliser.
• Pour un outil d’IA, rejouer de vrais exemples avec le nouveau modèle et comparer les réponses : un autre modèle peut formuler, classer ou extraire différemment.
• Remplacer une extension WordPress abandonnée plutôt que la garder désactivée : une extension présente sur le serveur peut rester exploitable selon la faille.
• Si un logiciel ne peut pas être remplacé tout de suite, réduire son exposition : poste déconnecté d’internet, droits limités, pas d’ouverture de pièces jointes. C’est l’isolement que recommandent l’ANSSI et le Centre canadien pour la cybersécurité.
• Mettre à jour l’inventaire après chaque changement, puis le relire au moins deux fois par an pour noter les prochaines échéances.

Questions fréquentes