Calipia : le blog

Cinq ans après le lancement de Windows 11, un chiffre résume à lui seul l’ampleur du problème : un poste de travail professionnel sur six tourne encore sous Windows 10. Ce n’est pas l’anecdote du collègue nostalgique qui refuse de changer ses habitudes. C’est une réalité industrielle, documentée par plusieurs sources indépendantes et confirmée, à mots choisis, par Microsoft lui-même dans ses derniers résultats trimestriels. Et pour les directions des systèmes d’information, cette persistance n’est plus seulement un sujet d’exploitation courante. Elle devient un sujet de conformité, d’assurabilité et, in fine, de responsabilité.

la source de données la plus complète sur ce sujet est le rapport de Lansweeper, qui détaille l’ensemble de la méthodologie et des chiffres cités ici : Windows 10 Holdouts Carry Three Times the Risk of Windows 11 – Lansweeper

Un an après la fin du support, l’état des lieux chiffré

Le 14 octobre 2025, Microsoft a officiellement mis fin au support standard de Windows 10. La bascule attendue a bien eu lieu, mais elle s’est arrêtée en cours de route. Selon les données de terrain de Lansweeper, société spécialisée dans l’inventaire et l’intelligence des actifs IT, qui s’appuie sur des remontées réelles issues de dizaines de milliers de sites clients, Windows 10 représentait encore environ 50 % du parc Windows début 2025. Ce taux est tombé autour de 40 % à l’approche de l’échéance d’octobre 2025, puis à 16,9 % aujourd’hui, soit environ un an plus tard. Windows 11 occupe désormais 78,8 % du parc observé.

Ces chiffres racontent une histoire en deux temps. La première vague de migration, celle des postes standards, sans contrainte matérielle ni applicative particulière, s’est faite assez naturellement sous la pression de l’échéance. Ce qui reste aujourd’hui est structurellement plus difficile à déplacer : des machines qui n’ont pas bougé parce qu’elles ne le peuvent pas, ou parce que personne, dans l’organisation, n’a encore décidé de s’y attaquer.

Il faut ajouter à ce tableau le programme d’Extended Security Updates (ESU), que Microsoft a consenti à prolonger pour les particuliers comme pour certaines organisations, jusqu’au 12 octobre 2027. C’est un sursis, pas une solution : environ 14 % du parc encore sous Windows 10 bénéficierait de ces correctifs payants, ce qui laisse un résidu d’environ 2 % de postes qui ne sont ni migrés, ni sous ESU, autrement dit complètement à découvert.

Qui sont les irréductibles, et pourquoi ils ne bougent pas

La résistance n’est pas répartie au hasard. Elle suit assez fidèlement la nature du parc matériel. Par secteur d’activité, la santé et la pharmacie affichent le taux de maintien sous Windows 10 le plus élevé (23 %), suivies du commerce et de la distribution (22,7 %), des PME toutes activités confondues (21,4 %), de l’industrie manufacturière (18 %) et enfin des grandes entreprises (16,6 %).

Secteur	Part encore sous Windows 10
Santé et pharmacie	23,0 %
Commerce et distribution	22,7 %
PME	21,4 %
Industrie manufacturière	18,0 %
Grandes entreprises	16,6 %

Le point commun de ces secteurs est simple : ils reposent sur du matériel spécialisé, certifié ou physiquement intégré à un équipement. Un automate industriel, un terminal de point de vente, un dispositif médical ou un poste de contrôle en usine ne se réimagent pas un mardi après-midi entre deux réunions. La mise à jour de l’OS suppose souvent une recertification complète de la chaîne applicative, un exercice long et coûteux que beaucoup d’organisations reportent, faute de budget ou de disponibilité des équipes.

Cette réalité matérielle a une traduction chiffrée précise : selon Lansweeper, 2,8 % du parc Windows 10 repose sur du matériel qui ne satisfait tout simplement pas aux prérequis techniques de Windows 11 (TPM 2.0, Secure Boot, processeur compatible). Ces machines ne sont pas seulement non mises à jour, elles sont non migrables en l’état, et le seul chemin possible est le remplacement physique.

Secteur	Part du parc Windows 10 non migrable (contrainte matérielle)
Commerce et distribution	7,8 %
Transport et logistique	6,1 %
Grandes entreprises	3,8 %
Industrie manufacturière	3,0 %
Santé	1,1 %

La santé illustre bien la nuance à ne pas manquer : le secteur cumule un des taux de maintien sous Windows 10 les plus élevés, mais seule une infime partie de son parc est réellement bloquée sur le plan matériel. Le problème n’y est donc pas un problème d’équipement, mais un problème de projet de migration qui n’a tout simplement pas encore été mené.

L’écart de risque, désormais mesurable

Pendant longtemps, l’argument « il faut sortir d’un OS obsolète » relevait de la bonne pratique de bon sens, sans chiffre précis pour l’étayer. Les données changent la donne. Un poste sous Windows 10 porte en moyenne 1 903 vulnérabilités actives, contre 652 pour un poste sous Windows 11, soit un écart de facteur 2,9. Et cet écart se creuse un peu plus à chaque Patch Tuesday qui corrige Windows 11 sans toucher Windows 10.

Indicateur	Valeur
CVE actives par poste, Windows 10	1 903
CVE actives par poste, Windows 11	652
Écart de vulnérabilité	2,9 fois plus élevé sur Windows 10
CVE classées critiques ou élevées	66,6 %
CVE connues comme exploitées in the wild	2,4 %
Écart d’exploitabilité vs Windows 11	1,7 fois plus élevé

Le mécanisme qui alimente cet écart mérite d’être expliqué aux équipes techniques, car il n’a rien de théorique : c’est le patch diffing. Chaque correctif publié pour Windows 11 peut être décompilé et comparé au code non corrigé, ce qui permet à un attaquant d’identifier précisément la faille corrigée. Si le même composant existe, non corrigé, dans Windows 10, l’attaquant dispose alors d’une feuille de route directe pour l’exploiter. Autrement dit, Windows 11 lui-même devient, mois après mois, une source d’information sur les failles de son prédécesseur.

Le nouveau casse-tête : conformité et assurabilité

C’est probablement le point le moins traité dans la presse généraliste, et pourtant le plus concret pour un RSSI ou un DSI d’aujourd’hui. Faire tourner un OS non supporté n’est plus seulement une question de risque technique, c’est devenu une question de conformité documentée et d’assurabilité.

Plusieurs référentiels sont explicites sur ce point. La norme PCI DSS 4.0 exige que tout système traitant des données de cartes bancaires soit activement supporté par son éditeur. L’ISO 27001:2022 considère un système non supporté comme une défaillance du contrôle de gestion des vulnérabilités techniques. Et pour les organisations concernées en Europe, la directive NIS2 impose des mesures documentées de traitement des vulnérabilités, avec des sanctions financières et une responsabilité personnelle des dirigeants en cas de manquement. Dans ce cadre, l’argument « nous avons du matériel que nous ne pouvons pas mettre à jour » ne constitue pas une défense recevable : le régulateur attend que le risque soit identifié, documenté et compensé par des mesures alternatives.

Le monde de l’assurance cyber a suivi le même mouvement. La question « faites-vous tourner des systèmes d’exploitation non supportés en production ? » figure désormais systématiquement dans les questionnaires de souscription, et une réponse positive peut suffire à faire échouer une demande de couverture. L’auto-déclaration ne suffit plus non plus : les assureurs vérifient, et une réponse inexacte peut annuler la garantie a posteriori. Une part croissante de polices intègre désormais une exclusion explicite pour les systèmes en fin de vie, ce qui signifie qu’un sinistre lié à une vulnérabilité Windows 10 peut être refusé sur cette seule base.

HP confirme, chiffres à l’appui

Du côté des constructeurs, le discours converge. En mai 2026, la direction financière de HP a indiqué à ses investisseurs qu’environ 30 % du parc installé de l’entreprise tournait encore sous Windows 10, un chiffre plus élevé que celui de Lansweeper, mais cohérent une fois qu’on tient compte d’un périmètre incluant davantage de petites structures et de particuliers. HP présente ce résidu comme une opportunité commerciale à court terme, un parc qui devra bien, un jour, être renouvelé.

C’est là que la lecture devient un peu plus critique. Microsoft comme ses partenaires OEM ont un intérêt financier objectif à ce que la transition s’étire dans le temps : Microsoft encaisse des revenus ESU sur les postes qui restent en Windows 10, pendant que les constructeurs continuent d’espérer un cycle de renouvellement matériel différé mais toujours à venir. Il ne s’agit pas d’un complot, simplement d’une convergence d’intérêts qui explique pourquoi personne, ni l’éditeur ni les fabricants, ne pousse vraiment fort pour clore le dossier avant l’échéance ESU d’octobre 2027.

Le signal, discret mais réel, dans les comptes de Microsoft

Microsoft communique volontiers sur ses 1,6 milliard d’appareils Windows actifs dans le monde, mais reste étrangement silencieux sur la répartition entre versions. Un indice s’est toutefois glissé dans son dernier rapport trimestriel : le chiffre d’affaires Windows OEM et Devices a reculé de 7 %, et le seul segment Windows OEM de 5 %. L’explication avancée par l’entreprise elle-même mentionne, entre autres facteurs, un effet de base défavorable lié au pic de ventes de PC provoqué l’année précédente par la fin de support de Windows 10. Autrement dit, le principal moteur de la croissance récente de Windows 11 s’essouffle, précisément au moment où les irréductibles refusent de partir et où le marché du PC dopé à l’IA ne prend pas encore franchement le relais.

Ce que cela signifie concrètement pour une DSI

Quelques pistes d’action, directement transposables dans un plan de remédiation :

• Distinguer clairement, dans le pilotage, les postes migrables mais pas encore migrés (un sujet de conduite du changement et de planning) des postes réellement non migrables pour raison matérielle (un sujet budgétaire et d’achat).
• Cartographier le risque à la maille du poste et du cas d’usage, en particulier sur les environnements OT, les terminaux de point de vente et les postes terrain, plutôt qu’à la maille globale du parc.
• Documenter formellement, dès maintenant, le risque résiduel associé aux postes Windows 10 encore en production, pour répondre aux exigences NIS2 et ISO 27001, et relire attentivement les clauses d’exclusion de la police de cyber-assurance de l’organisation.
• Ne pas considérer l’échéance ESU d’octobre 2027 comme une nouvelle date de fin de vie confortable, mais comme la dernière fenêtre pour traiter le sujet dans des conditions maîtrisées.
• Profiter de la bascule matérielle pour requestionner l’architecture cible : Windows 11, Copilot, exigences AI PC, et le cas échéant alternatives de virtualisation ou de cloud PC pour les usages qui ne justifient pas un remplacement physique immédiat.

En guise de conclusion

Cinq ans après le lancement de Windows 11, Microsoft semble avoir fait une forme de paix avec ses irréductibles. Après avoir joué la carte de la fin de support brutale, l’éditeur a cédé sur l’ESU, adouci sa communication, et laisse désormais les chiffres parler pour lui plutôt que ses notifications plein écran. Pour une DSI, la vraie question n’est plus de savoir pourquoi une partie du monde résiste au changement, un sujet presque philosophique, mais de savoir précisément où se trouvent, dans son propre parc, ces postes qui n’apparaissent dans aucun tableau de bord tant qu’un audit ne va pas les chercher. Le village qui résiste encore et toujours n’est pas forcément gaulois, il est peut-être simplement dans un couloir d’hôpital ou derrière une caisse enregistreuse, avec 1 900 bonnes raisons de ne pas être ignoré plus longtemps.