Mises à jour cumulatives à déployer
Une seule KB par version de Windows corrige les 135 vulnérabilités du bureau à distance et de la session utilisateur détaillées sur la page CVE. Version x64 ; Windows Server hors installation Server Core.
KB5126653 Windows 11 Version 23H2 1 exploitée
Mise à jour de sécurité d'octobre 2026 pour Windows 11 22H2/23H2 (build 22621.7641), basée sur la KB5122880 et la mise à jour hors bande KB5129242. Elle apporte des correctifs de sécurité, poursuit le déploiement des nouveaux certificats Secure Boot, ajoute l'heure d'été permanente pour la Colombie-Britannique et l'Alberta ainsi que le fuseau horaire Manitoba, et ajoute audit et contrôles optionnels pour les volumes ReFS sur stockage externe. Elle corrige aussi File History (message « Reconnect your drive » à tort) et des disques virtuels Storage Spaces Direct à niveaux qui ne se mettaient pas en ligne. Le SSU KB5126652 (22621.7641) est inclus. Aucun impact spécifique sur le bureau à distance, l'impression ou le profil. Problèmes connus : Microsoft n'a connaissance d'aucun problème connu pour cette mise à jour.
KB5127648 Windows 11 Version 24H2 1 exploitée
Mise à jour cumulative d'octobre 2026 pour Windows 11 24H2/25H2/26H2 (builds 26100/26200), regroupant les KB5124008, KB5129195 (hors bande) et KB5124010. Points importants pour les postes virtualisés : correction d'un problème d'Explorer.exe dans les environnements multi-utilisateurs (Azure Virtual Desktop, FSLogix) où, après l'ouverture de session, Explorer pouvait ne pas démarrer ou planter en boucle avec un écran noir ; correction d'échecs d'impression dans certaines applications et avec les pilotes RAW ou Generic Text Only après la mise à jour de sécurité d'août 2026. Elle corrige aussi la lecture audio AC-3, des saccades de souris dans des jeux, la connexion par empreinte digitale Windows Hello après un démarrage à froid et des disques Storage Spaces Direct à niveaux. Attention : en l'absence de la valeur BlockNtlmv1SSO (et Credential Guard désactivé), le mode par défaut passe à Enforce, ce qui peut affecter les connexions Wi-Fi, Ethernet et VPN utilisant MS-CHAPv2. Ajout du fuseau horaire Manitoba, de l'audit ReFS, des composants IA 1.2608.951.0 et du SSU KB5127647 (26100.9703). Problèmes connus : après installation de la préversion KB5124010 ou ultérieure, les utilisateurs non administrateurs peuvent ne pas pouvoir ouvrir de connexion Bureau à distance vers des machines où Administrator protection est activée (erreur 0xC000000D, « The token that was passed to the function is invalid ») ; contournement : désactiver temporairement Administrator protection en réinitialisant la stratégie « User Account Control Type Of Admin Approval Mode » via Intune ou Group Policy (activée par défaut dans les security baselines de Windows 11 24H2/25H2/26H2) ; correctif prévu. Il peut aussi être impossible d'activer Smart App Control s'il a été désactivé (contournement par registre ou deux Group Policy spéciales ; correctif prévu). Enfin, certains périphériques USB Audio Class 1.0 peuvent ne pas démarrer (Code 10) ou ne produire aucun son depuis la KB5124012 ; partiellement corrigé par la KB5129195, le support Microsoft peut fournir un contournement pour les autres symptômes.
KB5127648 Windows 11 Version 25H2 1 exploitée
Mise à jour cumulative d'octobre 2026 pour Windows 11 24H2/25H2/26H2 (builds 26100/26200), regroupant les KB5124008, KB5129195 (hors bande) et KB5124010. Points importants pour les postes virtualisés : correction d'un problème d'Explorer.exe dans les environnements multi-utilisateurs (Azure Virtual Desktop, FSLogix) où, après l'ouverture de session, Explorer pouvait ne pas démarrer ou planter en boucle avec un écran noir ; correction d'échecs d'impression dans certaines applications et avec les pilotes RAW ou Generic Text Only après la mise à jour de sécurité d'août 2026. Elle corrige aussi la lecture audio AC-3, des saccades de souris dans des jeux, la connexion par empreinte digitale Windows Hello après un démarrage à froid et des disques Storage Spaces Direct à niveaux. Attention : en l'absence de la valeur BlockNtlmv1SSO (et Credential Guard désactivé), le mode par défaut passe à Enforce, ce qui peut affecter les connexions Wi-Fi, Ethernet et VPN utilisant MS-CHAPv2. Ajout du fuseau horaire Manitoba, de l'audit ReFS, des composants IA 1.2608.951.0 et du SSU KB5127647 (26100.9703). Problèmes connus : après installation de la préversion KB5124010 ou ultérieure, les utilisateurs non administrateurs peuvent ne pas pouvoir ouvrir de connexion Bureau à distance vers des machines où Administrator protection est activée (erreur 0xC000000D, « The token that was passed to the function is invalid ») ; contournement : désactiver temporairement Administrator protection en réinitialisant la stratégie « User Account Control Type Of Admin Approval Mode » via Intune ou Group Policy (activée par défaut dans les security baselines de Windows 11 24H2/25H2/26H2) ; correctif prévu. Il peut aussi être impossible d'activer Smart App Control s'il a été désactivé (contournement par registre ou deux Group Policy spéciales ; correctif prévu). Enfin, certains périphériques USB Audio Class 1.0 peuvent ne pas démarrer (Code 10) ou ne produire aucun son depuis la KB5124012 ; partiellement corrigé par la KB5129195, le support Microsoft peut fournir un contournement pour les autres symptômes.
KB5127648 Windows 11 Version 26H2 1 exploitée
Mise à jour cumulative d'octobre 2026 pour Windows 11 24H2/25H2/26H2 (builds 26100/26200), regroupant les KB5124008, KB5129195 (hors bande) et KB5124010. Points importants pour les postes virtualisés : correction d'un problème d'Explorer.exe dans les environnements multi-utilisateurs (Azure Virtual Desktop, FSLogix) où, après l'ouverture de session, Explorer pouvait ne pas démarrer ou planter en boucle avec un écran noir ; correction d'échecs d'impression dans certaines applications et avec les pilotes RAW ou Generic Text Only après la mise à jour de sécurité d'août 2026. Elle corrige aussi la lecture audio AC-3, des saccades de souris dans des jeux, la connexion par empreinte digitale Windows Hello après un démarrage à froid et des disques Storage Spaces Direct à niveaux. Attention : en l'absence de la valeur BlockNtlmv1SSO (et Credential Guard désactivé), le mode par défaut passe à Enforce, ce qui peut affecter les connexions Wi-Fi, Ethernet et VPN utilisant MS-CHAPv2. Ajout du fuseau horaire Manitoba, de l'audit ReFS, des composants IA 1.2608.951.0 et du SSU KB5127647 (26100.9703). Problèmes connus : après installation de la préversion KB5124010 ou ultérieure, les utilisateurs non administrateurs peuvent ne pas pouvoir ouvrir de connexion Bureau à distance vers des machines où Administrator protection est activée (erreur 0xC000000D, « The token that was passed to the function is invalid ») ; contournement : désactiver temporairement Administrator protection en réinitialisant la stratégie « User Account Control Type Of Admin Approval Mode » via Intune ou Group Policy (activée par défaut dans les security baselines de Windows 11 24H2/25H2/26H2) ; correctif prévu. Il peut aussi être impossible d'activer Smart App Control s'il a été désactivé (contournement par registre ou deux Group Policy spéciales ; correctif prévu). Enfin, certains périphériques USB Audio Class 1.0 peuvent ne pas démarrer (Code 10) ou ne produire aucun son depuis la KB5124012 ; partiellement corrigé par la KB5129195, le support Microsoft peut fournir un contournement pour les autres symptômes.
KB5126868 Windows Server 2016 1 exploitée
Mise à jour cumulative de sécurité d'octobre 2026 pour Windows Server 2016 (et Windows 10 LTSB 2016), reprenant KB5123099 (build 14393.9512) et l'OOB KB5129239 (14393.9514). Elle ajoute le passage permanent à l'heure d'été pour la Colombie-Britannique et l'Alberta ainsi que le fuseau Manitoba Standard Time. Elle corrige un problème de disques virtuels Storage Spaces Direct restant hors ligne après une mise à jour, et (sur LTSB 2016) un échec de File History avec un message « Reconnect your drive » erroné. L'audit des volumes ReFS sur stockage externe est activé par défaut, la remédiation automatique des ACL du conteneur DKM d'AD FS est désormais active par défaut (désactivable avec RemediateDkmAcl=0), et le déploiement des certificats Secure Boot se poursuit. Rien de spécifique au bureau à distance, à l'impression ou au profil. Problèmes connus : sur les serveurs Exchange locaux, la connexion à OWA ou l'envoi de courriers peut échouer (erreur MapiExceptionMdbOffline, événement 1006, files d'attente qui grossissent) à cause de la limite par défaut de 512 appels Endpoint Lookup simultanés de l'Endpoint Mapper ; une clé de Registre permet un contournement temporaire, et Microsoft enquête. Certains périphériques USB Audio Class 1.0 affichent une erreur Code 10 ou n'ont plus de son (partiellement corrigé par l'OOB du 14 septembre 2026 pour les modes 8 canaux et 3D) : pertinent pour la redirection audio USB ; contactez le support Microsoft pour un contournement.
KB5126651 Windows Server 2019 1 exploitée
Mise à jour cumulative de sécurité d'octobre 2026 pour Windows Server 2019 (et Windows 10 LTSC 2019), reprenant KB5122876 (build 17763.9245) et l'OOB KB5129238 (17763.9247), avec le Servicing Stack Update KB5126650 (17763.9354). Elle ajoute le passage permanent à l'heure d'été pour la Colombie-Britannique et l'Alberta ainsi que le fuseau Manitoba Standard Time. L'audit NTLM renforcé est disponible (qui utilise NTLM, pourquoi et où), utile pour repérer les dépendances NTLM lors des ouvertures de session avant une migration vers Kerberos. Elle corrige aussi la reconnaissance des lecteurs BitLocker To Go entre systèmes récents et anciens, un problème de disques virtuels Storage Spaces Direct qui restaient hors ligne, et (sur LTSC 2019) un échec de File History. L'audit des volumes ReFS sur stockage externe est activé par défaut, et la remédiation automatique des ACL du conteneur DKM d'AD FS est désormais active par défaut (désactivable avec RemediateDkmAcl=0). Le déploiement des certificats Secure Boot se poursuit. Problèmes connus : sur les serveurs Exchange locaux, la connexion à OWA ou l'envoi de courriers peut échouer (erreur MapiExceptionMdbOffline, événement 1006, files d'attente qui grossissent) à cause de la limite par défaut de 512 appels Endpoint Lookup simultanés de l'Endpoint Mapper ; une clé de Registre permet de contourner temporairement le problème, et Microsoft enquête. Certains périphériques USB Audio Class 1.0 affichent une erreur Code 10 ou n'ont plus de son (problème partiellement corrigé par l'OOB du 14 septembre 2026 pour les modes 8 canaux et 3D) : pertinent pour la redirection audio USB ; contactez le support Microsoft pour un contournement.
KB5126655 Windows Server 2022 1 exploitée
Mise à jour de sécurité cumulative d'octobre 2026 pour Windows Server 2022 (KB5126655), basée sur la KB5122882 et la mise à jour hors bande KB5129237. Elle ajoute l'audit NTLM amélioré (qui utilise NTLM, pourquoi et où) pour préparer la migration vers Kerberos, curl 8.21.0, l'audit et les contrôles optionnels pour les volumes ReFS externes, la remédiation automatique par défaut des ACL DKM dans AD FS (désactivable via RemediateDkmAcl = 0) et les changements d'heure d'été/fuseaux horaires (Colombie-Britannique, Alberta, Manitoba). Elle corrige des disques virtuels Storage Spaces Direct restant hors ligne et des périphériques USB Audio Class 1.0 qui ne démarraient pas ou ne produisaient pas de son. Le SSU KB5126654 (20348.5739) est inclus. Problèmes connus : des serveurs Exchange locaux peuvent présenter des problèmes d'accès ou d'envoi d'e-mails (connexion OWA impossible, messages bloqués dans la boîte d'envoi, erreur MapiExceptionMdbOffline, Event ID 1006, files d'attente croissantes) à cause de la limite par défaut de 512 appels Endpoint Lookup simultanés d'Endpoint Mapper ; un contournement par registre ou via le support Microsoft existe, enquête en cours. De plus, WSUS n'affiche plus les détails des erreurs de synchronisation (CVE-2025-59287).
KB5126646 Windows Server 2025 1 exploitée
Mise à jour de sécurité cumulative d'octobre 2026 pour Windows Server 2025 (KB5126646), qui inclut la KB5122871 et la mise à jour hors bande KB5129235. Nouveautés : Quick machine recovery est pris en charge (désactivé par défaut, activable par Group Policy), audit et contrôles optionnels pour les volumes ReFS sur stockage externe, ML-KEM (post-quantique) dans TLS 1.3, curl 8.21.0, remédiation automatique par défaut des ACL DKM dans AD FS (désactivable via RemediateDkmAcl = 0) et nouveaux fuseaux horaires/changements d'heure d'été (Colombie-Britannique, Alberta, Manitoba). Elle améliore NetUseAdd pour les connexions SMB en null session, les canaux sécurisés Netlogon vers des contrôleurs de domaine antérieurs à Windows Server 2025, la fiabilité de Hyper-V pour les machines virtuelles confidentielles Intel TDX et corrige des disques virtuels Storage Spaces Direct qui restaient hors ligne. Attention : en l'absence de la valeur de registre BlockNtlmv1SSO (et Credential Guard désactivé), le mode par défaut passe à Enforce, ce qui bloque les identifiants dérivés de NTLMv1 pour le SSO et peut affecter les connexions Wi-Fi, Ethernet et VPN utilisant MS-CHAPv2. Le SSU KB5126645 (26100.33634) est inclus. Problèmes connus : des serveurs Exchange locaux peuvent présenter des problèmes d'accès ou d'envoi d'e-mails (connexion OWA impossible, messages bloqués dans la boîte d'envoi, erreur MapiExceptionMdbOffline, Event ID 1006, files d'attente croissantes), à cause de la limite par défaut de 512 appels Endpoint Lookup simultanés d'Endpoint Mapper ; un contournement par clé de registre ou via le support Microsoft est disponible, enquête en cours. De plus, WSUS n'affiche plus les détails des erreurs de synchronisation (CVE-2025-59287).