Windows
Mises à jour de sécurité, critiques, cumulatives et pilotes par Windows Update ; navigateurs, outils et applications métier par winget.
Windows Updatewinget
Inclus dans TeamDu CVE au correctif installé, sans changer d'outil →
Corrigez d'abord ce qui est exploité.
L'agent TechWatchAlert installe les mises à jour Windows, Linux et macOS, système et logiciels tiers. Chaque correctif porte les CVE qu'il ferme : ceux des failles exploitées passent devant, le reste suit vos approbations, vos anneaux et vos fenêtres de maintenance.
Essai Team de 14 jours sans carte bancaire · agent Windows, Linux et macOS · hébergé en France
Mises à jour
Les mises à jour qui manquent sur les machines équipées de l'agent, de la plus urgente à la moins urgente : décidez, puis déployez.ApprouverDéployer maintenant…
ToutesÀ déciderApprouvéeRefusée
| Mise à jour | Catégorie | Machines | CVE | Publiée | Redémarrage | Décision | |
|---|---|---|---|---|---|---|---|
| Mise à jour cumulative pour Windows 11 24H2 (KB5066835)Windows Update · redémarrage | Sécurité | 38 | CVE-2025-59230 +5 | 14 oct. | ⟳ | Approuvée | |
| Google Chrome 140.0.7339.185winget · 139.0.7258.155 → 140.0.7339.185 | Logiciel | 52 | CVE-2025-10585 | 17 oct. | — | Approuvée | |
 macOS Sequoia 15.6.1Apple Software Update | Sécurité | 11 | CVE-2025-43300 | 20 oct. | ⟳ | À décider | |
 opensslAPT · 3.0.13-0ubuntu3.6 | Sécurité | 17 | CVE-2025-9230 +2 | 23 oct. | — | Approuvée Retenue jusqu'au 30 oct. | |
| 7-Zip 25.01winget · 24.08 → 25.01 | Logiciel | 9 | CVE-2025-0411 | 9 oct. | — | À décider | |
| Intel Display 32.0.101.6078Windows Update | Pilote | 6 | — | 2 oct. | ⟳ | Refusée |
6 mises à jour, de la plus urgente à la moins urgente
Système et logiciels tiers, sur les trois systèmes
Un seul agent, en x64 et en ARM, qui lit et installe ce que proposent les gestionnaires natifs de chaque machine. Pas de WSUS à maintenir, pas de dépôt à héberger.
Linux
Tous les paquets de la distribution, avec la version installée et celle qui corrige.
APTDNFYUMZypper
macOS
Mises à jour du système par Apple Software Update, et logiciels installés avec Homebrew.
Apple Software UpdateHomebrew
Deux outils, et un trou entre les deux
Le scanner sait ce qui est vulnérable. L'outil de patch sait installer. Entre les deux, quelqu'un recopie des listes à la main, et les failles exploitées attendent le prochain Patch Tuesday comme les autres.
Le scanner
Trouve, sans corriger
Des milliers de lignes de CVE, exportées dans un tableur, puis transmises à l'équipe qui patche. Le jour où la faille est exploitée, personne ne sait si le correctif est parti.
L'outil de patch
Corrige tout, sans trier
Tout part au même rythme, mensuel le plus souvent. Il ne sait pas quelle mise à jour ferme une faille exploitée ce matin, ni laquelle peut attendre.
TechWatchAlert
Corrige d'abord ce qui est exploité
La même plateforme rapproche les CVE de vos machines, sait lesquelles sont exploitées et installe le correctif. Depuis l'alerte, en un clic, et avec la preuve.
Conçu pour corriger vite sans rien casser
Les correctifs les plus récents attendent quelques jours ; ceux qui ferment une faille exploitée partent tout de suite.
Sources de mises à jour
8Windows Update, winget, APT, DNF, YUM, Zypper, Apple Software Update, Homebrew
Agent
Windows, Linux et macOS, x64 et ARM
Délai de mise à disposition
7 jpar défaut, et 0 pour le correctif d'une faille exploitée
Ports ouverts sur la machine
0l'agent appelle la plateforme en HTTPS, jamais l'inverse
Quatre étapes, aucun serveur à installer
La console est chez nous, l'agent chez vous. Le parc démarre en mode observation : aucune politique planifiée ne part tant que vous ne l'avez pas décidé.
Installez l'agent
Une commande par système, ou les scripts fournis pour Datto, NinjaOne, ConnectWise Automate, N-able et Atera. Un jeton d'enrôlement peut ranger les machines dans un groupe et les étiqueter.
Voyez ce qui manque
Chaque machine est scannée régulièrement, et à la demande. Les mises à jour manquantes s'affichent avec leurs CVE, leur taille et le redémarrage qu'elles demandent.
Décidez
Approuvez ou refusez pour tout le projet, avec un motif. Les approbations de sécurité en attente se traitent aussi depuis le téléphone.
Déployez et gardez la preuve
Tout de suite, plus tard ou par politique planifiée. Chaque tâche, chaque échec et chaque décision restent au journal.
Tout ce qu'il faut pour corriger sans casser
Les garde-fous d'un outil de patch d'entreprise, réglés par la connaissance de ce qui est réellement exploité.
De l'alerte au correctif
Une faille exploitée ? Le correctif part depuis son dossier
Sur la fiche de chaque alerte, TechWatchAlert liste les mises à jour qui corrigent la CVE et les machines où elles manquent encore. Un clic, une fenêtre de maintenance, et le déploiement est lancé.
- Le bouton « Déployer via l'agent » sur chaque alerte concernée
- Les machines encore exposées, comptées une par une
- Chaque déploiement écrit au journal d'audit
CVE-2025-59230
Windows Remote Access Connection Manager · élévation de privilègesKEV À corriger sous 3 jours En remédiation
Déployer via l'agent
2 mises à jour corrigent cette vulnérabilité ; en attente sur 7 machines.
| Mise à jour cumulative pour Windows 11 24H2 (KB5066835) | 5 machines |
| Mise à jour cumulative pour Windows Server 2022 (KB5066782) | 2 machines |
Quand
MaintenantPlus tard
Fenêtre de maintenance
4 h
Déployer sur 7 machines
Délai de mise à disposition
Les correctifs trop frais attendent. Ceux des failles exploitées, non
Une mise à jour publiée il y a moins de sept jours est retenue : le temps que les régressions remontent ailleurs que chez vous. Si elle ferme une CVE inscrite au KEV de la CISA ou de VulnCheck, ou dont le CERT-FR signale l'exploitation, elle part tout de suite.
- Délai réglable de 0 à 90 jours, politique par politique
- Exception pour les failles exploitées, activée par défaut
- Forcer un déploiement reste possible, et c'est tracé
Exemple : politique avec un délai de 7 jours
Postes de travail · anneau 2
Critères
Délai de mise à disposition7 jours
Ne jamais retenir le correctif d'une CVE exploitée
Aperçu
| Google Chrome 140.0.7339.185Publiée il y a 2 jours · ferme CVE-2025-10585, au KEV | Part tout de suite |
| openssl 3.0.13-0ubuntu3.6Publiée il y a 2 jours · aucune CVE exploitée | Retenue 5 jours |
| Mise à jour cumulative (KB5066835)Publiée il y a 9 jours | Délai écoulé, part |
Déploiement en anneaux
Un groupe pilote d'abord, tout le parc ensuite
Chaque anneau ne déploie que ce que l'anneau précédent a installé sans aucun échec depuis le nombre de jours choisi. Un correctif qui casse quelque chose s'arrête au pilote.
- Validation de 0 à 60 jours entre deux anneaux (3 par défaut)
- Aperçu de chaque exécution, avec la raison de tout ce qui est écarté
- Critères par source, catégorie et gravité, exclusions
Politiques de mise à jour
1
Pilote IT12 machines · mardi 02:00, Europe/Paris
Réussie2
Postes de travailAnneau 2 · après « Pilote IT », validé 3 jours
En cours3
Serveurs de productionAnneau 3 · après « Postes de travail », validé 7 jours
Prochaine exécution : 4 nov.Planification et redémarrage
Le bon jour, la bonne heure, sans surprise pour les utilisateurs
Quotidien, hebdomadaire, mensuel ou « Patch Tuesday + 1 jour », à l'heure du fuseau choisi. Une machine qui n'a pas commencé avant la fin de la fenêtre abandonne. Le redémarrage suit votre politique : jamais, si nécessaire ou toujours, avec votre message.
- Fenêtre de maintenance de 15 minutes à 7 jours
- Délai avant redémarrage et report maximal laissé à l'utilisateur
- Redémarrages en attente comptés sur le tableau du parc
Déploiement
PlanificationPatch Tuesday + 1 jour
Fenêtre de maintenance240 minutes
RedémarrageSi nécessaire
Délai avant redémarrage15 minutes
Report maximal4 heures
Message affiché à l'utilisateur
Votre poste va redémarrer pour terminer les mises à jour de sécurité. Enregistrez votre travail.
Groupes dynamiques
Ciblez par règles, le parc se range tout seul
Système, nom, étiquette, criticité, environnement, source ou état : les groupes se recalculent à chaque utilisation. Une machine enrôlée demain tombe dans le bon anneau sans que personne n'y touche.
- Jusqu'à 20 conditions par groupe
- Aperçu des machines qui correspondent
- Groupes statiques quand il le faut
Serveurs Linux de production
SystèmeestLinux
etEnvironnementestProduction
etÉtiquetten'est pasgel-des-changements
42 machines correspondentAperçu
Traçabilité
Qui a décidé quoi, ce qui est parti, ce qui a échoué
Chaque approbation, chaque déploiement et chaque redémarrage sont écrits au journal d'audit. Une tâche échouée, refusée ou expirée ouvre un point « à traiter » chez les administrateurs du projet, avec relances.
- Historique des exécutions, par statut et par machine
- Sorties des scripts conservées 180 jours
- Relances automatiques tant qu'un échec n'est pas traité
Historique des exécutions
- Politique « Postes de travail » exécutéePlanifiée · 64 machines · 61 réussies, 3 en cours
- Fenêtre de maintenance ouvertePatch Tuesday + 1 jour · Europe/Paris
- Sophie Martin a approuvé 4 mises à jourDont KB5066835 et Google Chrome 140
- Marc Lefèvre a refusé une mise à jourPilote Intel Display · motif : régression connue
- Tâche échouée sur PC-COMPTA-07Point « à traiter » ouvert · relance automatique
L'agent corrige. Les connecteurs couvrent tout le reste
60 connecteurs relient TechWatchAlert aux outils que vous utilisez déjà : les machines sans agent rejoignent le même parc, les équipements qu'aucun agent ne met à jour restent sous surveillance, et chaque correctif se vérifie.
Les machines sans agent
Postes et serveurs déjà gérés ailleurs rejoignent le même parc : leurs logiciels sont rapprochés des CVE, même là où l'agent n'est pas installé.
Ce qu'aucun agent ne met à jour
Hyperviseurs et pare-feux en appliance se mettent à jour à la main. Les connecteurs relisent leur version exacte et vous préviennent dès qu'une faille les vise : vous savez quoi planifier, et sur quel équipement.
La preuve que le correctif a pris
Vos scans, importés ou lus par l'API du scanner, confrontés à vos dossiers : un correctif déclaré mais que le scanner voit encore manquer ressort, hôte par hôte.
La bonne personne prévenue
L'alerte part en ticket (Jira, GLPI, ServiceNow…), en carte Teams ou dans Slack, et en webhook signé vers vos scripts ; les événements de sécurité partent aussi vers votre SIEM.
Un agent qui n'exécute que ce que vous avez approuvé
Installer des logiciels sur tout le parc demande un niveau de confiance élevé. Voici ce qui le justifie.
Tâches signées
Chaque tâche est signée par la plateforme, et l'agent vérifie cette signature avant d'agir. Il n'installe que ce que liste la tâche signée qu'il reçoit.
Aucun port ouvert
L'agent contacte la plateforme à intervalle régulier, par une connexion sortante chiffrée. Rien n'écoute sur la machine, aucune règle de pare-feu entrante.
Mode observation au départ
Un nouveau parc démarre en observation : politiques planifiées et mises à jour automatiques de l'agent attendent votre feu vert. Vos actions manuelles restent possibles.
Scripts désactivés par défaut
Un administrateur les autorise pour le projet, et une machine peut les refuser localement dès l'installation.
Secrets jamais stockés en clair
Chaque agent s'authentifie avec son propre secret ; la plateforme ne le conserve jamais en clair.
Hébergé en France
Application, base de données, sauvegardes et e-mails chez OVHcloud, dans des centres de données de la région parisienne.
Ce que ni le scanner ni l'outil de patch ne font seuls
| Scanner de vulnérabilités | Outil de patch classique | TechWatchAlert | |
|---|---|---|---|
| Voit les CVE de chaque machine | |||
| Sait lesquelles sont exploitées (KEV, CERT-FR, EPSS) | |||
| Installe les correctifs système et logiciels tiers | |||
| Montre les CVE fermées par chaque mise à jour | |||
| Laisse passer tout de suite le correctif d'une faille exploitée | |||
| Déploie depuis l'alerte elle-même | |||
| Garde dossier, décision et preuve au même endroit |
Oui · En partie, selon l'outil · Non
Comparaison par familles d'outils, pas par éditeur : les fonctions exactes varient d'un produit à l'autre.
Le patch management, offre par offre
Tous les prix sont hors taxes. Essai Team de 14 jours sans carte bancaire, déploiement compris.
Free
Voir ce qui manque
0 €
Pour toujours
Commencer gratuitement- Agent Windows, Linux et macOS
- Inventaire et mises à jour manquantes de chaque machine
- CVE fermées par chaque mise à jour
- 5 machines incluses
Team
Corriger tout le parc
149,17 €/mois
facturé annuellement · 100 machines incluses
Essayer 14 jours- Tout Free, et 100 machines incluses
- Approuver, refuser, déployer, installer, désinstaller
- Déploiement depuis l'alerte
- Fenêtres de maintenance et politique de redémarrage
- Délai de mise à disposition et exception pour les failles exploitées
- Journal d'audit
Enterprise
Automatiser à grande échelle
À partir de6 000 €
par an, sur devis
Parler à l'équipe- Tout Team, machines illimitées
- Politiques planifiées en anneaux
- Scripts PowerShell, bash, Python
- Aussi disponibles en option sur Team
Machines supplémentaires : 2,50 € par machine et par mois. Infogérants : tarif dégressif jusqu'à 0,90 € par machine et par mois.
Comparer toutes les offres →
Quels systèmes et quels logiciels sont couverts ?
Windows, Linux et macOS, en x64 et en ARM. Sous Windows : Windows Update (sécurité, critiques, cumulatives, pilotes) et winget pour les logiciels tiers. Sous Linux : APT, DNF, YUM et Zypper, donc tous les paquets de la distribution. Sous macOS : Apple Software Update et Homebrew.
Faut-il un serveur WSUS ou ouvrir un port ?
Non. L'agent appelle la plateforme en HTTPS et télécharge les mises à jour depuis les sources habituelles de chaque système. Rien n'écoute sur la machine et aucun serveur n'est à installer chez vous.
Comment éviter qu'une mise à jour casse la production ?
Trois garde-fous se combinent. Le délai de mise à disposition retient sept jours les correctifs trop récents. Les approbations vous laissent refuser une mise à jour, qui ne partira jamais. Les anneaux ne déploient en production que ce que le groupe pilote a installé sans échec.
Et si un correctif pose problème une fois installé ?
TechWatchAlert ne désinstalle pas un correctif déjà posé : c'est précisément pour cela que le délai, le pilote et les approbations existent. Vous pouvez en revanche désinstaller un logiciel par winget, APT, DNF ou Homebrew, et lancer vos propres scripts de remédiation.
Comment sont traitées les failles exploitées ?
Quand une mise à jour ferme une CVE inscrite au KEV de la CISA ou de VulnCheck, ou dont le CERT-FR signale l'exploitation, elle n'attend pas le délai de mise à disposition. Depuis l'alerte, le bouton « Déployer via l'agent » liste les correctifs et les machines encore exposées.
Cela remplace-t-il mon RMM ou Intune ?
Pas forcément. Beaucoup d'équipes gardent leur outil de gestion et confient à TechWatchAlert la partie vulnérabilités et correctifs. L'agent s'installe en une commande, et des scripts sont fournis pour le pousser depuis Datto, NinjaOne, ConnectWise Automate, N-able et Atera. Sans déployer l'agent, TechWatchAlert peut aussi lire par leur API l'inventaire de NinjaOne, Datto RMM, N-able N-central et Atera.
Combien ça coûte ?
Voir les mises à jour manquantes est gratuit jusqu'à 5 machines. Le déploiement est inclus dans Team, 179 € par mois pour 100 machines (moins en annuel), puis 2,50 € par machine supplémentaire. Les anneaux et les scripts sont dans Enterprise, ou en option sur Team. Prix hors taxes.
Cela aide-t-il pour NIS2 ?
L'article 21 de NIS2 demande de gérer les vulnérabilités et leur correction. TechWatchAlert garde pour chaque faille la décision, le correctif déployé, la date et l'auteur : de quoi montrer à un auditeur ce qui a été fait, et quand.
Où sont hébergées les données ?
En France, chez OVHcloud, en région parisienne : application, base de données, sauvegardes et e-mails. TechWatchAlert est édité en France.
Patch management
Détectez, puis corrigez sans changer d'outil
L'agent remonte l'inventaire, TechWatchAlert priorise ce qui est exploité, et le correctif part dans la fenêtre que vous avez choisie.
Offre Free sans carte bancaire · hébergé en France