Fin du support de Windows 10 : risques et options pour les cabinets médicaux

Le support de Windows 10 a pris fin le 14 octobre 2025. Un poste sous Windows 10 continue de fonctionner normalement : le logiciel métier s’ouvre, le lecteur de carte Vitale fonctionne. Mais, sauf inscription à un programme de mises à jour de sécurité étendues (ESU), il ne reçoit plus de correctifs.

De nouvelles failles sont découvertes et publiées chaque mois. Sur un poste non corrigé, elles restent exploitables. Le risque augmente donc avec le temps, sans signe visible pour l’utilisateur.

Un risque qui concerne aussi les petites structures

Les attaques ne visent pas seulement les grandes organisations. Une large part d’entre elles repose sur des balayages automatisés d’Internet, qui exploitent toute faille rencontrée, quelle que soit la taille de la structure.

L’observatoire de l’ANS et du CERT Santé recense 764 incidents de sécurité déclarés dans le secteur de la santé en 2025. 288 d’entre eux ont imposé un fonctionnement en mode dégradé ou l’interruption de la prise en charge, soit 24 % de plus qu’en 2024. Le rapport identifie 63 mises en danger potentielles de patients, dont 8 avérées. La compromission de comptes y est la première menace : un poste non corrigé peut servir de point d’entrée ou de relais à un attaquant.

Les options

Les mises à jour de sécurité étendues pour les entreprises

Microsoft commercialise des mises à jour de sécurité étendues pour les organisations, pour une durée maximale de trois ans :

Période	Prix par poste
Année 1, jusqu’au 13 octobre 2026	61 $
Année 2, jusqu’au 12 octobre 2027	122 $
Année 3, jusqu’au 10 octobre 2028	244 $

Le prix double chaque année et les années sont cumulatives : une souscription en cours d’année 2 impose de payer aussi l’année 1. Pour cinq postes couverts trois ans, le total atteint 2 135 $, soit à peu près le prix de plusieurs machines neuves.

Le programme destiné aux particuliers

Microsoft propose également un programme ESU grand public, prolongé jusqu’au 12 octobre 2027. Dans l’Espace économique européen, il est gratuit à condition de se connecter au poste avec un compte Microsoft au moins tous les 60 jours. Sinon, il coûte 30 $ et couvre jusqu’à dix appareils. Il exige Windows 10 en version 22H2 et exclut les postes intégrés à un domaine, gérés par un outil de gestion de flotte ou configurés en mode kiosque. Microsoft le présente comme un programme destiné aux particuliers : son usage sur un poste professionnel doit être vérifié au cas par cas.

La migration vers Windows 11

C’est la solution de référence, si le matériel le permet : Windows 11 exige notamment une puce TPM 2.0 et un processeur compatible, ce qui exclut en général les ordinateurs antérieurs à 2018. Avant toute migration, il faut vérifier auprès de l’éditeur du logiciel métier que la version installée est compatible avec Windows 11.

Le remplacement ciblé

Les postes qui accèdent au logiciel métier et aux données de santé justifient un remplacement prioritaire. Un poste aux usages limités, par exemple l’affichage d’informations en salle d’attente, peut être conservé sous un autre système d’exploitation maintenu, à condition d’être isolé du réseau qui porte les données de santé.

Commencer par un inventaire

La première étape ne demande aucun budget : dresser la liste de toutes les machines du cabinet, y compris le poste de la salle de soins, l’ordinateur portable du remplaçant ou le poste qui pilote une imprimante. Pour chacune, noter la version de Windows, l’âge, l’usage réel et l’accès ou non aux données de santé. Cet inventaire permet de hiérarchiser les remplacements, et révèle souvent des postes oubliés mais toujours connectés.

Sources

• Microsoft, Extended Security Updates for Windows 10 (organisations).
• Windows Central, gratuité du programme grand public dans l’Espace économique européen.
• eWeek, Windows 10 ESU : prix, éligibilité et couverture (tarifs entreprises, prolongation du programme grand public jusqu’en 2027).
• IT-Connect, les prérequis de Windows 11.
• ANS et CERT Santé, Observatoire des signalements d’incidents de sécurité des systèmes d’information en santé, édition 2025, mai 2026.