Dernière version, version recommandée, version corrigée, fin de support : quatre faits qui ne veulent jamais dire la même chose

Quatre questions, quatre documents

Un numéro de version seul ne répond à aucune des quatre questions. La version la plus récente se lit dans une liste de ce qui existe ; la recommandation est une phrase que l’éditeur écrit dans un but précis ; la version corrigée est indiquée par vulnérabilité et par branche ; la fin de support est une date dans une politique. Lire l’un comme substitut d’un autre est le point de départ de la plupart des erreurs de mise à niveau.

Ce que chaque éditeur entend par là

• Palo Alto Networks : la version de maintenance la plus récente d’une ligne PAN-OS est listée dans les notes de version de la ligne ; les préconisations de versions sont publiées aux clients dans le portail de support, que Patcharo ne lit pas, donc Patcharo n’affiche aucune recommandation PAN-OS ; les versions corrigées sont indiquées par ligne dans les bulletins, suffixes de hotfix compris ; le récapitulatif de fin de vie date chaque ligne.
• Check Point : le dernier Take du Jumbo Hotfix Accumulator d’une version est listé dans la documentation de cette version ; sk95746 nomme la version recommandée pour tous les déploiements et la politique qui rend chaque nouveau Take recommandé dès sa publication ; les Takes corrigés sont nommés par l’article SK de la vulnérabilité et par les problèmes résolus du Take ; la politique de cycle de vie du support date chaque version.
• Fortinet : la Document Library liste les versions de chaque branche ; l’éditeur qualifie les versions de Feature ou Mature et publie une version recommandée par modèle ; les bulletins FortiGuard PSIRT indiquent les versions corrigées par branche ; le cycle de vie des produits donne la fin du support ingénierie et la fin du support de chaque branche.
• Cisco : les notes de version de chaque train listent ses versions et leurs dates ; l’éditeur signale les versions suggérées dans son portail Software Download (connexion), que Patcharo ne lit pas, donc Patcharo n’affiche aucune recommandation Cisco ; les bulletins indiquent les premières versions corrigées par train ; les bulletins de fin de commercialisation et de fin de vie datent les trains.

Comment les quatre faits se contredisent sur un équipement réel

• Recommandée mais affectée : la version recommandée par l’éditeur est antérieure à la première version corrigée d’une vulnérabilité qui concerne l’équipement. L’équipement doit dépasser la version recommandée, ou attendre un hotfix sur celle-ci.
• Dernière mais pas recommandée : la version la plus récente de la branche est sortie, l’éditeur n’a pas changé sa recommandation. L’exécuter est un choix, avec ses problèmes connus, pas une obligation.
• Corrigée mais hors support : la branche a reçu son dernier correctif et a atteint sa fin de support ; la prochaine vulnérabilité n’aura aucune version corrigée sur elle. La question n’est plus quelle version, mais quelle branche.
• Prise en charge mais jamais corrigée : une vulnérabilité n’a aucune version corrigée sur une branche que l’éditeur prend encore en charge, avec un contournement ou une migration indiqués à la place. Patcharo montre la déclaration de l’éditeur, jamais une version inventée.

Un ordre de lecture qui mène à une décision

1. Partez de l’équipement : sa version exacte, sa branche, son modèle.
2. Lisez les versions corrigées des vulnérabilités qui le concernent ; la plus récente d’entre elles est votre plancher sur cette branche.
3. Lisez la fin de support de la branche : si elle est proche ou passée, la décision devient un changement de branche, et le plancher se déplace vers la branche cible.
4. Lisez la recommandation de l’éditeur pour votre modèle ou votre déploiement ; préférez-la quand elle est égale ou supérieure au plancher, expliquez pourquoi quand elle est inférieure.
5. Lisez la version la plus récente seulement comme la borne haute de ce qui existe, avec ses problèmes connus.
6. Vérifiez les contraintes du guide éditeur de votre produit : compatibilité, serveur de gestion, chemin de mise à niveau.

Comment Patcharo garde les quatre faits séparés

Patcharo lit chaque fait dans le document éditeur qui l’énonce, environ toutes les six heures pour les catalogues de versions et les recommandations, et les affiche sur des lignes distinctes avec leur source et le jour de leur vérification. Une version corrigée ne vient que du bulletin ; une recommandation que de la déclaration de l’éditeur ; la version la plus récente que de la liste de l’éditeur ; la date de support que de la politique de cycle de vie. Une valeur qui ne peut pas être lue est affichée inconnue ou non publiée, jamais remplacée par le nombre le plus proche.

Erreurs fréquentes

• Lire la version la plus récente comme la version recommandée, ou la version recommandée comme corrigée.
• Décider sur une branche hors support comme si un correctif allait venir.
• Omettre un suffixe de hotfix ou un numéro de Take, qui est la partie de la version sur laquelle le correctif est énoncé.
• Se fier à une marque de page de téléchargement mémorisée il y a des mois comme recommandation actuelle.

À vérifier avant d’agir

• La version exacte de l’équipement et sa branche, telles que l’équipement les affiche.
• La première version corrigée que le bulletin nomme pour cette branche.
• Les dates de support de la branche dans la politique de cycle de vie de l’éditeur.
• La déclaration de recommandation de l’éditeur et sa date, dans le document qui l’énonce.

Sources

Les documents officiels sur lesquels ce guide repose, relus face au texte le 19 oct. 2026. Rien n’en est recopié : lisez-les pour la formulation qui fait foi.

• sk95746: Check Point Recommended Version and Release Terminology

  Check Point Support Center · How one vendor words a recommendation for all deployments.

• Technical Tip: Recommended Release for FortiOS

  Fortinet Community (Fortinet staff) · How another vendor words a recommendation per model.

• End-of-Life Summary

  Palo Alto Networks · What an end of support means for a release line and its fixes.

• Cisco Security Advisories

  Cisco PSIRT · How first fixed releases are stated per release train.

• Palo Alto Networks Security Advisories

  Palo Alto Networks PSIRT · First fixed releases per line, hotfix suffixes included.