Un rythme de publication plus soutenu : ce qui change chez F5 et ce que vous devez faire

Kunal AnandDirecteur des produits | F5

Note de la rédaction (13 août 2026) : Afin de mieux protéger nos clients dans un contexte de menaces en constante évolution, nous avons mis à jour le calendrier de publication de nos mises à jour de sécurité ainsi que notre processus de divulgation. Veuillez consulter le dernier article de blog de Kunal Anand pour obtenir les informations les plus récentes sur la protection de votre organisation.

Note de la rédaction (14 octobre 2026) : F5 désigne désormais les « versions renforcées » sous le terme de « versions critiques ». Ce changement de terminologie reflète l’importance de ces versions et la nécessité de déployer la dernière version dès que possible.

J’ai récemment expliqué comment F5 utilise des modèles d’IA de pointe pour détecter et corriger les vulnérabilités dans son propre code. Trouver davantage de problèmes, plus rapidement, ne représente que la moitié du travail. L’autre moitié consiste à fournir ces correctifs à nos clients au même rythme. Un cycle de publication trimestriel était adapté à une autre époque. Dans un monde où la fenêtre d’application des correctifs s’est de fait inversée, une publication trimestrielle ne suffit plus.

Je pense qu’à terme, l’IA fera pencher la balance en faveur des défenseurs. Mais pour l’instant, c’est l’inverse. Les attaquants peuvent passer d’une vulnérabilité découverte à un exploit opérationnel plus vite que la plupart des organisations ne peuvent appliquer un correctif. Les changements présentés ci-dessous marquent le début d’un rééquilibrage, grâce à une correction et à un déploiement plus rapides.

Ces changements ne se sont pas produits de manière isolée. Depuis plusieurs mois, nous écoutons les clients qui utilisent F5 dans leurs environnements les plus critiques et tirons les enseignements de leurs retours. Ces organisations disposent d’infrastructures parmi les plus vastes et les plus complexes au monde. Nous avons pris leurs remarques au sérieux et adaptons notre approche en conséquence.

Ce qui change dans notre rythme de publication

Il y a deux changements importants dont vous et vos équipes devez prendre connaissance.

1. Nous passons à des versions logicielles renforcées mensuelles. Les versions logicielles renforcées seront publiées le troisième mercredi de chaque mois, à compter du 15 juillet.

Chaque version comprendra un large éventail de correctifs. Ceux-ci découleront de nos analyses par IA, des problèmes mis au jour lors de l’examen approfondi de leurs résultats, des signalements de nos équipes internes et de chercheurs externes, ainsi que de nos propres efforts de renforcement de la sécurité et de la stabilité. À mesure que les modèles de pointe continueront de progresser, les découvertes s’accéléreront et ces versions corrigeront un nombre croissant de problèmes.

Nous avons toujours recommandé d’utiliser la toute dernière version. C’est plus vrai que jamais aujourd’hui. Je vous recommande vivement de déployer ces versions aussi rapidement que possible, et pas uniquement lorsqu’elles corrigent des problèmes de gravité critique. Dans l’ensemble du secteur, les attaquants sont de plus en plus capables de combiner des vulnérabilités de gravité faible ou moyenne pour créer de nouvelles méthodes d’exploitation. La gravité d’un correctif pris isolément est donc un indicateur de moins en moins fiable de son importance. Considérez chaque version comme si elle comblait une faille critique.

Nous limiterons le niveau de détail que nous divulguerons sur les correctifs spécifiques inclus dans chaque version. Compte tenu des capacités de ces modèles, nous n’allons pas fournir aux attaquants une feuille de route leur permettant de repérer les vulnérabilités et de concevoir des exploits avant que les clients puissent appliquer les correctifs.

2. Les notifications de sécurité trimestrielles deviennent mensuelles. Nous prévoyons de publier chaque mois des notifications de sécurité concernant les vulnérabilités corrigées dans la version renforcée du mois précédent, tout en nous réservant la possibilité d’adapter le calendrier, le contenu ou le mode de notification lorsqu’une approche différente est requise par la loi, un contrat, des obligations de divulgation coordonnée, une coordination avec les autorités publiques, une exploitation active, une évaluation de l’importance relative, un embargo ou des impératifs de protection des clients. La première sera publiée le 19 août et portera sur la version du 15 juillet.

Ce délai est intentionnel. Il vous laisse le temps d’effectuer la mise à jour avant que des informations supplémentaires ne soient rendues publiques. Nous continuerons à émettre des alertes de sécurité en dehors du calendrier mensuel chaque fois que des informations urgentes sur une vulnérabilité devront vous être communiquées immédiatement.

Avec le passage à un rythme mensuel pour les versions renforcées et les notifications de sécurité, nous continuerons à vous proposer :

• Versions de maintenance (F5 BIG-IP, F5 BIG-IQ, F5OS, F5 NGINX) avec des corrections de bogues, notamment le regroupement de correctifs récents de CVE, de petites fonctionnalités et des améliorations axées sur la stabilité et la résolution des défauts.
• Versions majeures (BIG-IP, BIG-IQ, F5OS) liées aux étapes clés de la feuille de route produit, avec de nouvelles fonctionnalités, de nouveaux modules et de nouvelles capacités, ainsi que des améliorations de l’architecture de sécurité principale.
• Versions annuelles offrant une stabilité à long terme (NGINX) qui fournissent une base stable aux organisations privilégiant la cohérence et des périodes de support prolongées.
• Correctifs techniques d’urgence (EHF) destinés à résoudre les problèmes urgents nécessitant une correction immédiate, publiés selon les besoins en fonction de leur impact sur les clients.

Ce que vous pouvez faire dès maintenant

Nous ne sommes pas le seul fournisseur à nous orienter vers des versions plus fréquentes. À mesure que la fréquence des correctifs augmente dans l’ensemble du secteur, vos équipes devront gérer davantage de mises à jour, provenant d’un plus grand nombre de fournisseurs et à un rythme plus soutenu. Cela représente une véritable charge opérationnelle, et nous nous engageons à la réduire, et non à l’alourdir.

Voici quelques mesures que vous pouvez prendre dès maintenant :

• Déployez F5 Insight for ADSP. Nous investissons massivement dans la gestion de parc, et une mise à jour sera disponible très prochainement. Ces fonctionnalités seront proposées par l’intermédiaire de F5 Insight. En le déployant dès maintenant, vous bénéficiez donc d’une visibilité sur votre situation actuelle et serez prêt à utiliser la gestion de parc dès qu’elle sera disponible.
• Automatisez les mises à jour sur l’ensemble de votre parc BIG-IP. Utilisez les automatisations F5 et les collections Red Hat Ansible afin de pouvoir intégrer des versions de sécurité plus fréquentes sans la charge de travail manuelle.
• Faites appel aux services professionnels de F5. Laissez-nous vous aider à concevoir un processus de mise à jour automatisé, à faible risque et adapté à votre environnement, afin de faire d’un rythme plus soutenu un avantage plutôt qu’une contrainte.

Ce que vous pouvez attendre de nous

Un rythme plus soutenu vous demande davantage. Voici ce que vous pouvez attendre de notre part à mesure que nous déployons ces changements et nous adaptons à la suite :

• La protection de nos clients passe avant tout. Vous nous confiez vos processus les plus critiques, et chacune de nos évolutions tient compte en premier lieu de cette responsabilité.
• Nous mobiliserons toutes les ressources nécessaires pour détecter et corriger rapidement les vulnérabilités. Nous avons mis en place une infrastructure dédiée et mobilisé des ingénieurs de toute l’entreprise afin que vous puissiez utiliser nos produits en toute confiance.
• Nous restons attachés à la transparence, à la divulgation responsable et au dialogue avec la communauté de la cybersécurité. Une divulgation différée n’en est pas moins une divulgation. Nous continuerons à travailler aux côtés de nos clients, des chercheurs et des laboratoires d’IA de pointe, tandis que nous nous adaptons tous ensemble à ce nouveau paysage des menaces.
• Nous continuerons à nous adapter à l’évolution de vos besoins et des menaces. Ce rythme est adapté à notre situation actuelle. La même rigueur qui nous a conduits à abandonner le rythme trimestriel nous amènera à nouveau à évoluer lorsque la situation l’exigera.

La réalité à laquelle nous sommes confrontés est que chaque avancée qui nous aide à détecter des vulnérabilités est également à la portée des attaquants. Nous nous y sommes préparés en mettant en place l’infrastructure, les outils et les capacités opérationnelles nécessaires pour détecter et corriger les problèmes, et vous fournir des correctifs aussi rapidement que possible. Ce travail ne ralentit pas. Merci pour votre collaboration tandis que nous faisons face ensemble à cette situation.

Pour en savoir plus sur la manière dont nous traitons les vulnérabilités, consultez notre politique de divulgation des vulnérabilités. Les informations relatives à chaque version renforcée seront publiées dès qu’elles seront disponibles. Si vous avez des questions ou avez besoin d’aide pour vous adapter à ce nouveau rythme, contactez l’assistance F5 à tout moment.

À propos de l’auteur

Kunal AnandDirecteur des produits | F5

Kunal Anand dirige l’organisation produit de F5 en tant que directeur des produits. Responsable de la vision, de la stratégie et de l’exécution des produits, il veille au développement de solutions révolutionnaires qui répondent à des enjeux critiques et offrent aux clients des expériences exceptionnelles. Dans ses précédentes fonctions de directeur de la technologie et de l’IA, Kunal a défini la stratégie et la vision de l’entreprise en matière de technologie et d’intelligence artificielle. Avant de rejoindre F5, Kunal a occupé le double poste de directeur de la technologie et de directeur de la sécurité des systèmes d’information chez Imperva. Son parcours chez Imperva a débuté en 2018 avec l’acquisition de Prevoty, une start-up spécialisée dans la sécurité des applications qu’il avait cofondée en 2013. Avant de rejoindre Prevoty, il était directeur de la technologie chez BBC Worldwide. Fort d’une longue expérience en matière d’innovation et d’une solide expertise technique, Kunal a dirigé des équipes chargées de la sécurité, des données, de la technologie et de l’ingénierie chez Gravity, MySpace et au Jet Propulsion Laboratory de la NASA. Kunal possède plus de 15 ans d’expérience dans les domaines de l’IA et de l’apprentissage automatique, notamment dans l’entraînement de modèles, l’utilisation d’algorithmes fondés sur l’IA pour améliorer les produits, ainsi que la conception et la mise en œuvre d’architectures d’IA. Kunal est titulaire d’une licence en informatique du Babson College.

Autres articles de Kunal Anand