📆 Édition #86 du Lundi 24 août 2026
Le 30 septembre.
Trois lignes d'agenda posées à des mois d'intervalle, sur trois canaux différents, qui tombent le même jour et sur les mêmes machines. Azure Virtual Desktop (classic) s'arrête, Azure Migrate (classic) s'arrête et les séries NVv3 et NVv4 sont désallouées.
Prises séparément, ce sont trois notices de retrait comme il en sort chaque mois. Prises ensemble, elles dessinent quelque chose de plus précis : Microsoft ne ferme pas du Legacy Windows cette fois, elle démonte sa propre première génération. Et les séries NV sont les machines virtuelles GPU du bureau virtuel graphique. Si tu fais tourner de l'AVD accéléré sur du Classic, tu perds la plateforme et le matériel le même jour.
Il n'y a pas de chemin « je migre le Host Pool et je garde mes machines ».
Le 30 septembre, à J-37 : trois retraits Azure sur la même population, et ce ne sont pas des fins de support molles.
Le 1er septembre, dans 8 jours : les Passkeys s'activent par défaut sur ton tenant Entra. Une recherche parue cette semaine montre exactement où s'arrête leur résistance au phishing.
Trois urgences, dont une échéance fédérale déjà dépassée : une autre tombe demain, et la troisième n'a toujours aucun correctif.
Note : pas d'édition lundi dernier, et ce n'était pas des vacances. Je terminais quelque chose que je prépare depuis des mois. J'en parle plus bas, après la section blog.
🔴 À traiter maintenant
Trois urgences cette semaine. Si tu ne fais qu'une chose après cette édition, commence par la première.
CVE-2026-33824 : la deadline fédérale est passée avant-hier. Double Free dans les Windows IKE Service Extensions, CVSS 9.8, exécution de code à distance sans authentification et sans interaction, par paquet spécialement conçu sur les ports UDP 500 ou 4500. Toutes les versions supportées de Windows 10, Windows 11 et Windows Server sont concernées. La CISA l'a ajoutée à son catalogue le 18 août avec une échéance au 21, sur la foi d'observations d'Unit 42 qui décrit une exploitation manuelle et des tentatives de rappel de Shell inversé sur des Endpoints VPN. Le correctif existe depuis le Patch Tuesday d'avril. Commence par identifier les hôtes qui exposent IKE, applique la mise à jour, et si tu ne peux pas patcher immédiatement, bloque l'entrant sur UDP 500 et 4500 pour les systèmes qui n'utilisent pas IKE. Dans cet ordre : le filtrage est une mesure d'attente, pas un correctif. Lire la suite
ShieldBreak : douze jours de PoC public, toujours aucun correctif. CVE-2026-69414, CVSS 7.8, élévation de privilèges dans le Malware Protection Engine de Defender. Un attaquant local peu privilégié obtient SYSTEM. Le PoC est public depuis le 12 août, Microsoft a attribué la référence le 14, et elle dit travailler à un correctif sans annoncer de date. Attention au faux sentiment de sécurité : le correctif RoguePlanet de juillet ne protège pas, les deux chemins d'exploitation diffèrent. En attendant, empêche l'exécution de code non fiable sur les postes, vérifie que la protection contre les falsifications est active à l'échelle du tenant, puis déploie des requêtes de chasse dans Defender for Endpoint. Dans cet ordre : sans contrôle d'exécution, la détection arrive toujours après. Lire la suite
Patch Tuesday d'août : ce que tu n'as peut-être pas reçu. L'édition précédente n'est partie que sur le web, alors je remets les trois urgences du mois sur la table, dans l'ordre de patch réel. CVE-2026-68820 d'abord : Use-After-Free dans
afd.sys, CVSS 7.0, exploitée en conditions réelles, au catalogue de la CISA avec une échéance fédérale au 25 août, soit demain. Check Point attribue l'exploitation au groupe Lazarus, campagne Operation Dream Job, pour charger un rootkit noyau. Ensuite CVE-2026-62878 : débordement de pile dans Windows DNS Server, CVSS 9.8, exécution de code à distance sans authentification, de Windows Server 2012 à 2025. Dans la plupart des déploiements Active Directory, le rôle DNS tourne sur le contrôleur de domaine. Enfin CVE-2026-62911 : contournement d'authentification Exchange, CVSS 8.0, dont l'exploit a été démontré à Pwn2Own Berlin et remis à Microsoft en main propre. Environ 400 correctifs ce mois-ci, mais le chiffre ne t'aide pas : l'ordre suit le statut d'exploitation, jamais le score. Lire la suite
⚡ Ce qui brûle : 3 sujets cette semaine
Le 30 septembre, Azure démonte sa première génération
Azure Virtual Desktop (classic) ne devient pas « non supporté » le 30 septembre : les Host Pools deviennent inertes, et tes utilisateurs sont coupés. Azure Migrate (classic) s'arrête le même jour, sauf que sa réplication est déjà éteinte depuis le 31 mai. Le dernier point de récupération de tes machines virtuelles VMware et de tes serveurs physiques a bientôt quatre mois, et l'écart avec la production grandit chaque jour que tu attends. Les séries NVv3 et NVv4 sont désallouées à cette date elles aussi, et ce sont précisément les machines GPU du bureau virtuel graphique. Côté On-Prem, la même mécanique tourne : la mise à jour cumulative SharePoint de septembre coupe les Workflows SharePoint 2010, le ToolPane et les mises à jour de proxy de pages, et certains administrateurs signalent déjà des moteurs de Workflow désactivés par la mise à jour d'août. Ces échéances ont été annoncées séparément, à des mois d'intervalle, sur des canaux différents. Personne ne les lit au même endroit, et c'est exactement pour ça qu'elles vont surprendre du monde. Lire la suite
22 failles Cloud le même jour, 6 à 10.0, et rien à faire
Le 20 août, Microsoft a publié 22 correctifs de sécurité sur ses services Cloud : Azure, Entra ID, Exchange Online, Fabric, Partner Center. 6 sont cotées 10.0, le maximum. Entra ID, Azure Arc à deux reprises, Exchange Online, Azure SQL Database, Cassandra managé. Toutes portent la même mention : mitigé côté service, aucune action client. C'est le programme de transparence sur les failles des services Cloud, et sur le principe c'est une bonne nouvelle. Sauf que la faille Entra ID a été publiée le jeudi en portant la mention « exploitée », et que Microsoft a retiré cette mention le vendredi en précisant qu'elle ne l'avait pas été, sans expliquer le changement. Pour un RSSI, la question n'est plus de patcher, puisqu'il n'y a rien à patcher. Elle est de savoir ce qu'il peut affirmer à son comité des risques quand la seule information disponible est une case cochée par l'éditeur, et que cette case a changé en vingt-quatre heures. Lire la suite
L'agent quitte la couche applicative et entre dans la salle des machines
La semaine dernière, la question était de savoir où enfermer l'agent. Cette semaine, Microsoft lui donne les clés. Le Connector Namespace du SRE Agent gère désormais les serveurs MCP distants : GitHub, Datadog, New Relic, Splunk, Azure SQL, GitLab, Jira, PagerDuty. L'agent qui enquête sur ton incident est branché sur la pile qui le décrit. Azure Copilot ouvre un accès direct à des agents spécialisés en dépannage, en planification de déploiement et en résilience. Le Fabric Data Warehouse devient adressable par un agent via MCP et Agent Skills, et les MCP Connectors branchent SharePoint, Salesforce et Outlook sur les agents Copilot sans câblage manuel. Quatre annonces en cinq jours qui pointent dans la même direction : l'agent ne produit plus du code, il touche à l'incident, au déploiement, à l'entrepôt et au ticket. La question de gouvernance change alors de nature, et ce n'est plus celle qu'on se posait il y a un mois. Lire la suite
📖 Sur le blog cette semaine
Doctor Kloud Labs : la première plateforme francophone de Labs Azure
Ça fait des années que je tourne autour de cette idée.
+10 ans de missions Azure, 10 ouvrages, une cinquantaine de projets livrés dans des environnements où l'erreur coûte cher. Et toujours le même constat, en formation comme en mission : le lecteur a compris, et il ne sait pas encore faire. Entre lire une procédure et la refaire sous pression sur le Tenant d'un client, il y a un monde. Ni une vidéo ni un livre ne le comblent.
Ce printemps, on a arrêté d'en parler. Mon équipe et moi on s'est mis dessus du matin au soir, pendant des mois. Ce que ça donne : plus de 100 Labs Azure en français, 50 de plus chaque mois, tous issus de missions réelles.
Le principe tient en une phrase. Tu obtiens un environnement Azure qui t'appartient, prêt en une minute. Tu déploies avec Azure CLI et le Portail Azure, tu casses, tu répares. Aucun compte Azure à créer, aucune carte bancaire, aucune facture de consommation à la fin du mois.
Et tu recommences jusqu'à ce que ce soit juste. Chaque relance repart d'un environnement neuf, parce que c'est la répétition qui transforme une procédure lue en geste acquis.
Chaque Lab est une demande que ton manager ou ton client va te faire un jour. Autant la traiter sur Doctor Kloud Labs en premier.
🔓 Ouverture le jeudi 3 septembre.
Si tu avais accès à la plateforme Doctor Kloud Labs demain matin, tu lancerais quel Lab en premier ?
Un clic suffit, et ça m'aidera vraiment à prioriser la production des prochains.
🔍 Actualités “On-Prem”
⭐ Windows Server & AD
Les modules Active Directory Domain Services arrivent sur Microsoft Learn
Un parcours complet, des concepts fondamentaux à la gestion avancée des contrôleurs de domaine et des stratégies de groupe. Utile pour cadrer une montée en compétence d'équipe. En savoir plus
Le projet OpenVMM s'élargit
Moniteur de machines virtuelles écrit en Rust, sous licence MIT, avec près de 100 contributeurs et des partenariats Intel et Arm. Émulation de périphériques avancée et Confidential Computing pour les machines virtuelles Azure. En savoir plus
SharePoint Server
La CISA compte désormais six failles SharePoint activement exploitées
L'alerte a été mise à jour le 18 août avec l'ajout de CVE-2026-55040. Toutes les versions supportées sont concernées, avec vol de Machine Keys IIS et persistance à la clé. En savoir plus
SQL Server
L'extension SQL IaaS Agent prend en charge SQL Server sous Linux
Les machines virtuelles Azure sous Linux se rattachent aux outils de gestion Azure : suivi de licences, conformité, visibilité, sans surcoût. En savoir plus
🔍 Actualités “Azure”
⭐ Entra
Le CSS de positionnement disparaît du branding d'entreprise le 26 octobre
Microsoft retire les propriétés de mise en page et de positionnement utilisées pour personnaliser les pages de Login. Motif affiché : les pages brandées servaient à l'usurpation. Le retrait complet du CSS personnalisé suivra fin 2027. En savoir plus
Les valeurs par défaut de federatedTokenValidationPolicy vont changer
Si tu t'appuies sur la validation de jetons fédérés, relis ta configuration avant que le nouveau comportement n'arrive. En savoir plus
Les Lifecycle Workflows retirent les affectations de packages d'accès sur les modèles Leaver et Mover
La tâche est désormais listée sur les deux modèles, avec une suppression planifiée à quinze jours par défaut. Un changement de comportement sur la gouvernance d'accès, pas seulement sur le départ.
Deux rôles Entra gagnent des permissions en silence
Le rôle Security Administrator reçoit quatre actions utilisateur pour endiguer plus vite un compte compromis. Le rôle Application Developer en gagne quinze, dont la mise à jour d'identifiants : des chemins d'attaque à réévaluer.
Le centre d'administration signale les manques de licence P1 sur l'Accès conditionnel
De quoi calculer le besoin réel plutôt que de licencier au jugé, ou de découvrir l'écart pendant un audit.
Security
Stratégie personnalisée pour Azure DDoS Protection en Public Preview
Tu peux désormais ajuster les seuils d'atténuation par protocole et par ressource, jusqu'à l'IP de ton load balancer. De quoi coller à ton profil de trafic réel plutôt qu'à une moyenne. En savoir plus
Networking
Les préfixes de passerelle résumés passent en disponibilité générale
Annoncer un préfixe agrégé au lieu de chaque réseau virtuel simplifie la configuration de routage et réduit l'exposition d'adressage. En savoir plus
IPv6 entre en Public Preview dans Azure Firewall
Configuration en double pile, filtrage natif par règles réseau et proxy DNS pour le trafic IPv4 comme IPv6. En savoir plus
Compute
La personnalisation vCore passe en disponibilité générale
Désactiver le multithreading et configurer des cœurs contraints, avec un effet direct sur les coûts de licence des charges facturées au cœur. En savoir plus
Managed Instance sur Azure App Service passe en disponibilité générale
SLA de production à 99,95 %, disponibilité étendue à huit régions, intégration aux fonctionnalités Premium v4. Cible affichée : migrer les applications .NET Framework historiques sans réécriture. En savoir plus
Azure VMware Solution en licence incluse sera retiré le 30 août 2027
Conséquence du changement de politique Broadcom : il faudra apporter ses propres licences VMware portables. En savoir plus
Containers
Azure Native New Relic simplifie l'observabilité AKS
La supervision New Relic s'intègre directement dans Azure, avec une visibilité cohérente entre clusters et un paramétrage manuel réduit. En savoir plus
Ce qu'exige vraiment un runner GitHub Actions sur AKS
Au-delà du déploiement : sécurité, supportabilité, observabilité et préparation multi-équipes avec l'Actions Runner Controller. En savoir plus
Databases
La redondance de zone arrive en Preview sur SQL Managed Instance Next-gen General Purpose
Calcul et données répartis automatiquement sur plusieurs zones, sans intervention manuelle. En savoir plus
Le provisionnement Azure SQL Database entre dans l'extension MSSQL (GA)
Créer et atteindre une base managée depuis l'éditeur de code, sans quitter le contexte de développement. En savoir plus
Azure SQL Data Sync prend en charge l'identité managée affectée par l'utilisateur
Un secret de moins à faire tourner face à l'authentification SQL classique. En savoir plus
Un script automatise le déploiement d'Azure Managed Redis
Il réessaie la création de cache en variant les références jusqu'à contourner les limites de capacité régionale. En savoir plus
Management & Gouvernance
What-If pour les Deployment Stacks passe en disponibilité générale
Voir quelles ressources seront supprimées ou détachées avant d'appliquer, avec des identifiants de ressource persistants et moins de bruit. Le filet qui manquait sur les Stacks en production. En savoir plus
FinOps apprend à nommer la dépense IA dans FOCUS
Un motif personnalisable rattache les compteurs de la grille tarifaire Azure aux types de jetons, pour imputer réellement le coût malgré une facturation dispersée. En savoir plus
Supervision
Azure Monitor Issues s'étend aux Action Groups
Notification, création de ticket et remédiation automatiques via Logic Apps et Azure Functions dès qu'un problème est détecté. En savoir plus
Integration
Azure Web PubSub Chat entre en Public Preview
API managées pour les salons, les messages, les membres et les rôles, avec mise à l'échelle automatique et géo-réplication. En savoir plus
Hybrid & Multi-Cloud
Premier épisode d'une série sur l'onboarding Azure Arc à l'échelle
Authentification non interactive, Ansible pour Linux, stratégie de groupe pour Windows : de quoi raccorder des milliers de serveurs sans les toucher un par un. En savoir plus
Migration
BYON passe en disponibilité générale dans Azure Site Recovery
Rattacher ses propres cartes réseau pré-provisionnées pour conserver les paramètres exacts en bascule de test comme en bascule réelle. En savoir plus
DevOps
GitHub revient sur la panne du 17 août
Les commits mensuels sont passés de 1,4 à 2,9 milliards sous l'effet du développement agentique. GitHub annonce un plan de fiabilité et un travail sur son usage d'Azure. En savoir plus
Les images Apple Silicon et Xcode 27 arrivent en paiement à l'usage (Preview)
Agents macOS ARM64 natifs dans les pools hébergés, facturés à la minute, en tailles standard et XLarge. En savoir plus
Virtual App & Desktop
Rien à te lister ici cette semaine, et c'est volontaire : la seule actualité de la fenêtre est en haut de cette édition, parce qu'elle a une date et que cette date est proche.
J'ai balayé le reste. Windows 365, FSLogix, RDS : aucune annonce Microsoft entre le 17 et le 23 août. Ce n'est pas un oubli, c'est un vide vérifié.
En revanche, si tu as encore des Host Pools en classic, la partie qui te concerne n'est pas dans ce bloc. Elle est plus haut, et elle est datée.
🔍 Actualités “M365 & Modern Workplace”
M365 Apps
Les deux applications Copilot fusionnent et trois fonctionnalités sont retirées
Le changement démarre le 18 août et vise à distinguer plus nettement les comptes professionnels des comptes personnels. En savoir plus
M365 Platform /Data Protection
Microsoft 365 Archive s'intègre aux politiques de rétention Purview
Une étape d'archivage s'insère dans le traitement des fichiers SharePoint Online et OneDrive : les fichiers inactifs partent en stockage froid avant leur suppression finale. Double effet, sur la facture de stockage et sur ce que les outils IA vont chercher.
Intune /Endpoint
Collecter les journaux Delivery Optimization devient plus simple
Un module PowerShell de dépannage évite d'aller chercher les traces à la main sur chaque poste. En savoir plus
🔍 Actualités “Data, IA et ML”
Data & Analytics
Azure Databricks Lakebase passe en disponibilité générale dans quatre régions de plus
North Central US, France Central, Germany West Central et East Asia. Une option de résidence de données en plus pour les charges Lakehouse. En savoir plus
Les connexions Event Hubs dans Eventstream se sécurisent par identité de workspace
Fin des chaînes de connexion en dur sur les flux Event Hubs. En savoir plus
La visualisation KPI arrive en disponibilité générale dans les Real-Time Dashboards
Les métriques clés se lisent d'un coup d'œil, sans construire un visuel dédié. En savoir plus
Dix points à connaître sur l'accélération de requêtes par GPU dans le Fabric Data Warehouse
À lire avant d'en attendre un gain, parce que toutes les requêtes n'en profitent pas. En savoir plus
Les Business Events peuvent être publiés depuis les charges Fabric
Les traitements Fabric deviennent émetteurs d'événements métier, consommables ailleurs dans la plateforme. En savoir plus
IA & Machine Learning
Microsoft Foundry élargit son choix de modèles ouverts
DeepSeek-V4-Flash et NVIDIA Nemotron 3.5 Lightning arrivent via Azure Direct, Fireworks on Foundry et Hugging Face. En savoir plus
Cinq nouvelles capacités Claude arrivent dans Microsoft Foundry
De l'appel unique jusqu'à l'agent, sur la même surface. En savoir plus
Agent Prompt ou agent Hosted dans Foundry, comment choisir
Orchestration managée pour les agents déclaratifs, logique dans ton code pour garder la main. Le choix se fait au démarrage, pas après. En savoir plus
🤔 Ce qu'on ignore cette semaine
Cette semaine, j'ai laissé de côté trois annonces Microsoft. Elle a été nommée Leader du Frost Radar sur les plateformes de protection des charges Cloud : bonne nouvelle pour Redmond, sans effet sur ton lundi. La sélection des pistes de soumission pour FabCon et SQLCon 2027 relève de l'événementiel, pas de la production. Les nouvelles offres de sécurité en CSP concernent la relation partenaire, pas l'exploitation. Côté silence, 6 domaines n'ont rien produit entre le 17 et le 23 août : ni Windows 365, ni FSLogix, ni RDS, ni Teams, ni SharePoint Online, ni Exchange On-Prem. Le stockage Azure non plus, ce qui est plus rare
La commande “Az CLI” de la semaine !
Lister les machines virtuelles GPU que le 30 septembre va désallouer
Les séries NVv3 et NVv4 sont retirées dans trente-sept jours. Si tu fais tourner du bureau virtuel graphique, du rendu ou de l'inférence légère sur ces tailles, la question n'est pas de savoir s'il faut migrer, c'est de savoir combien de machines sont concernées et dans quelles régions. Cette commande sort l'inventaire :
az vm list \
--query "[?starts_with(hardwareProfile.vmSize,'Standard_NV')].{Nom:name, RG:resourceGroup, Taille:hardwareProfile.vmSize, Region:location, OS:storageProfile.osDisk.osType}" \
-o tableCe que la commande retourne :
Toutes les machines virtuelles de série NV avec leur taille exacte, pour isoler les NVv3 et NVv4 des générations plus récentes
Leur région, parce que UAE North bénéficie d'un report au 31 janvier 2027 alors que le reste du monde s'arrête le 30 septembre
Leur groupe de ressources et leur système d'exploitation, pour évaluer l'effort de bascule vers les séries NVadsA10_v5
Note : lecture seule, aucun effet de bord. Ce qui remonte en Standard_NV12s_v3, NV24s_v3, NV32ms_v3 ou NV48s_v3 dans cette table est le périmètre à traiter avant la fin du mois prochain. Ajoute --subscription pour balayer plusieurs Subscriptions Azure.
Mème de la semaine !
Tu es arrivé au bout de ta prescription, sans effets secondaires 😄
Si cette dose hebdo t'a été utile, Forwarde-la à un collègue qui pilote du Microsoft sérieux. La communauté Doctor Kloud grandit grâce à toi 💙
Hicham.
🩺WhoAmI.exe
📕Echo “Mon dernier livre” > Préparer et réussir AZ-104
📅 Un projet Microsoft dans le pipe ? Réserver un appel de cadrage avec moi
