Le 1er septembre, Microsoft a rendu AVD Hybrid GA : tes session hosts tournent dans ton datacenter, pilotés depuis Azure. Le 30, elle éteint AVD Classic. Ton VDI change de camp dans les deux sens, à 23 jours d'intervalle.

Lis bien la deuxième phrase. Le 30 septembre, un host pool Classic ne tombe pas en panne, il ne fait plus rien. Pas d'erreur, pas d'alerte, juste des utilisateurs qui n'arrivent plus à ouvrir leur bureau un mardi matin. Et pendant que tu regardes cette date, Microsoft te propose exactement l'inverse : garder tes VM chez toi, sur ton Hyper-V ou ton ESXi, et ne mettre dans Azure que le cerveau. Le broker, l'identité, la porte d'entrée. Tout le reste reste à toi. C'est la première fois qu'elle dit ça sans te demander d'acheter du matériel certifié.

Côté identité, même mouvement, sens inverse. Depuis 15 ans, ton AD parle et Entra écoute. Cette semaine, Entra répond. Cloud Sync provisionne des objets vers Active Directory, à 23 jours de la fin d'Entra Connect Sync. Ton annuaire devient une réplique. Tes délégations, elles, ne le savent pas encore.

Demain, c'est Patch Tuesday. Prends un café, tu vas en avoir besoin.

Trois échéances cette semaine. Si tu ne fais qu'une chose après cette édition, fais la première.

Exchange On-Prem : l'exploit de CVE-2026-62911 est public, et 22 000 serveurs répondent encore Quoi. Il s'agit d'une élévation de privilèges par rejeu d'authentification, notée CVSS 8.0 et classée Critical, corrigée le 11 août. Elle touche Exchange Server 2016, 2019 et Subscription Edition. Microsoft l'écrit noir sur blanc : un attaquant prend le contrôle des boîtes de tous les utilisateurs, lit, envoie, télécharge les pièces jointes. Risque. Le NCSC néerlandais signale un code d'exploitation en ligne depuis le 28 août, le BSI allemand a alerté le 1er septembre, et Shadowserver compte encore environ 22 000 serveurs exposés sur leur version. Microsoft ne la marque pas exploitée à ce jour. Un exploit public sur Exchange exposé, historiquement, ça ne reste pas théorique longtemps. Action, dans cet ordre. Installe la mise à jour de sécurité d'août sur toutes tes fermes, sans exception. Vérifie ensuite ce qui est exposé depuis Internet, OWA, ECP, EWS. Passe HealthChecker et contrôle qu'Extended Protection est actif. Enfin, si tu es en 2016 ou 2019, la mise à jour d'octobre est la dernière de l'ESU : la sortie d'Exchange On-Prem n'est plus un projet, c'est une ligne de budget avec une date. Deadline. Le correctif est disponible depuis le 11 août. La dernière mise à jour ESU pour 2016 et 2019 tombe en octobre 2026. Lire la suite

AVD Classic : dans 23 jours, tes host pools ne répondent plus Quoi. Le 30 septembre, Azure Virtual Desktop Classic est retiré. Les tenants, host pools et application groups créés avec la version 2019 ne sont pas des ressources ARM : ils n'apparaissent ni dans le portail, ni dans ton RBAC, ni dans ta commande Az CLI. Le même jour, Azure Migrate Classic disparaît, et les séries de VM GPU NVv3 et NVv4 sont désallouées. Risque. Après le 30, un host pool Classic devient inerte. Qui fait tourner de l'AVD graphique sur NV et sur Classic perd la plateforme et le matériel le même jour. Pour Migrate Classic, les données de réplication sont arrêtées depuis le 31 mai : il ne reste que les projets à fermer. Action, dans cet ordre. Inventorie tes tenants Classic, ils ne se voient qu'avec les cmdlets Classic. Migre vers ARM avec l'outil Microsoft, manuel ou automatique selon la taille. Redimensionne les NVv3 vers NVadsA10 v5 et les NVv4 vers NVads V710 v5. Si tu as plus de 500 application groups ou du multi-tenant, la demande d'exemption se fait maintenant, pas le 29. Deadline. Le 30 septembre 2026, soit J-23. Seule exception, les NVv3 et NVv4 hébergées en UAE North tiennent jusqu'au 31 janvier 2027. Lire la suite

Maroc : l'heure change le 20 septembre, tes contrôleurs de domaine doivent le savoir avant Quoi. Le Maroc passe de UTC+1 à UTC+0. Microsoft publie une mise à jour Windows le 20 septembre et, en attendant, recommande de régler les machines concernées sur le fuseau UTC. Risque. Si tu opères un SI franco-marocain, nearshore ou filiale, tu as des serveurs en Morocco Standard Time. Kerberos tolère 5 minutes de dérive entre un client et son DC, pas 1 heure. Un DC qui change d'heure avant ses clients, ou l'inverse, c'est une matinée d'authentifications refusées. Action, dans cet ordre. Liste les machines et les DC sur ce fuseau. Applique la guidance intérimaire UTC sur les DC et sur ta source de temps. Déploie la mise à jour du 20 dès sa sortie, DC en premier. Vérifie ensuite tes tâches planifiées et tout ce qui horodate des journaux de sécurité. Deadline. Le 20 septembre 2026, soit J-13. Lire la suite

Prochaines échéances

AVD Hybrid est GA : ton hyperviseur reste, ton broker part dans Azure

Depuis le 1er septembre, un session host AVD peut être une VM Hyper-V, vSphere, Nutanix, ou un serveur physique, à condition d'être connecté par Azure Arc. Le control plane, l'identité Entra, le brokering et Windows App restent dans Azure. Tout le trafic est sortant, en HTTPS, sans aucune ouverture entrante à négocier avec ton équipe réseau. Tu paies par utilisateur, l'infrastructure reste à ta charge et à ton amortissement. Pour une ferme RDS qui vieillit ou un Citrix dont la facture monte, le calcul vient de changer : tu modernises le bureau sans déménager la charge. Et dans l'architecture que Microsoft décrit, il y a un composant qui devient plus critique que ton hyperviseur, et ce n'est pas celui que tu crois. Lire la suite

Entra Cloud Sync écrit dans ton Active Directory, et Entra Connect Sync a 23 jours

Le flux qui n'allait que dans un sens depuis 15 ans s'inverse. Cloud Sync provisionne maintenant des groupes de sécurité d'Entra vers AD en disponibilité générale, et des utilisateurs en Preview depuis fin août. Pour les organisations qui créent leurs identités dans le Cloud et gardent un AD pour les applications Kerberos, c'est la pièce qui manquait. Elle arrive à 23 jours de la fin d'Entra Connect Sync, le 30 septembre. Publié fin août dans une édition qui n'a jamais quitté le web, je le remets parce qu'il n'a pas fini son travail. Ce qu'il faut savoir avant d'ouvrir l'écriture vers AD : une seule configuration par domaine, l'agent doit joindre un DC en LDAP et en Global Catalog, les groupes de plus de 50 000 membres ne passent pas, et un administrateur On-Prem peut toujours modifier un groupe provisionné, sauf si tu actives l'enforcement, lui aussi en Preview. Lire la suite

Le phishing passe sous tes filtres : sessions volées, caractères invisibles, et une réponse qui a une date

Deux chiffres de la semaine racontent le même problème. Mirage2FA, un kit d'attaque de type Adversary-in-the-Middle analysé par ANY.RUN, a compromis 4 532 comptes Microsoft 365 sur 9 426 ciblés, en volant le cookie de session après le MFA, pas avant. Le 3 septembre, Microsoft documente l'ASCII Smuggling : des balises Unicode invisibles insérées dans le corps d'un mail pour que le filtre lise autre chose que ce que l'utilisateur lit. Un code SMS ne protège ni de l'un ni de l'autre. La réponse Microsoft est datée : depuis le 1er septembre, la migration automatique des méthodes SMS et voix vers les Passkeys est engagée, avec une fenêtre d'exclusion ouverte jusqu'au 1er février 2027. Si tu ne veux pas de cette migration, ou pas maintenant, l'exclusion se pose cette semaine, pas en janvier. Lire la suite

Le 1er septembre, Microsoft m'a nommé à nouveau MVP Azure 😊

Il y a eu beaucoup de travail derrière, chaque semaine, sur cette newsletter, sur le blog et sur LinkedIn. Mais un contenu que personne ne lit n'a aucun impact. Ce que Microsoft a regardé, c'est ce que vous en faites : vous lisez, vous partagez à vos équipes et vos collègues, vous relayez les articles sur les réseaux sociaux, et c'est comme ça que Doctor Kloud pèse aujourd'hui dans la communauté Microsoft francophone. Merci pour ça.

Jean-François Apréa, merci à pour la nomination l’ami 🙏

Les mises à jour de sécurité restent gratuites jusqu'au 14 octobre 2031. Ce qui s'arrête, ce sont les correctifs hors sécurité et les demandes de changement de conception. La falaise, le même jour, c'est Windows Server 2012 et 2012 R2 qui reçoivent leur toute dernière ESU. Si tu en as encore, le 13 octobre est ta dernière mise à jour, point. (Microsoft Learn)

Les node pools Windows peuvent passer en 2025, et Windows Server 2022 sur AKS est retiré le 15 mars 2027. Si tu as des conteneurs Windows, tu as une migration d'OS de plus dans le calendrier, et elle ne se fait pas en place. (Azure Updates)

Une faille SQL Server corrigée en 2019, exploitée en 2026, sans aucune information publique sur le vecteur. Si tes instances 2016 ou 2017 n'ont pas ce correctif, tu as sept ans de retard sur un patch qui prend vingt minutes.

Microsoft aligne SQL Server sur le modèle Azure : tu paies l'usage réel, sans engagement par cœur. Pour les instances qui tournent à 20 % le week-end, c'est la première fois que la facture peut suivre la charge. (SQL Server Blog)

Mainstream jusqu'au 12 avril 2028, extended jusqu'au 10 avril 2030, et Microsoft nomme la cible : Logic Apps Standard, ou Hybrid si tes flux doivent rester chez toi. 4 ans, ça paraît long. Pour un middleware qui porte tes échanges EDI depuis 15 ans, c'est juste le temps de faire le tour des partenaires. (Integrations on Azure Blog)

Gouvernance de tenant, access reviews centrées sur l'utilisateur plutôt que sur la ressource, clonage de workflows Lifecycle, identité Passwordless pour les appareils Teams. C'est un récap mensuel : chaque item porte sa propre date de déploiement, vérifie avant de planifier une bascule. (Microsoft Entra Blog)

Référence MC1450134. Un utilisateur qui s'authentifie sur un poste enrôlé n'aura plus besoin d'un second facteur à côté : le poste est le facteur. Dans la même série, une Passkey peut devenir la première méthode enregistrée (MC1450133), les Passkeys s'ouvrent aux invités B2B, et les credentials fédérés GitHub Actions passent en sujets immuables (MC1447671). Quatre changements qui vont dans le même sens : moins de codes, plus d'appareils de confiance.

Comptes SaaS non autorisés, service accounts surprivilégiés, droits de réinitialisation de mot de passe sur des groupes sensibles. C'est le Secure Score de l'identité, avec la liste de ce qu'un attaquant regarderait en premier. (Microsoft Defender Blog)

Elles vivent désormais dans Conditional Access, avec les conditions de risque comme critère. Si tu ne les as pas recréées là-bas, tes utilisateurs à risque passent sans friction à partir du 1er.

Référence MC1448379. Rien ne casse bruyamment : les groupes cessent simplement d'évoluer, et tes accès conditionnels avec. C'est le genre de panne qu'on découvre trois semaines plus tard, quand un nouvel arrivant n'a accès à rien.

Tes Container Apps entrent dans la posture Defender comme les nœuds AKS : images vulnérables, secrets exposés, configuration. Jusqu'ici c'était l'angle mort du serverless. (Azure Updates)

Générateur de playbooks par IA, UEBA élargi, connecteurs multi-comptes pour Auth0, CrowdStrike et Salesforce. Le générateur de playbooks vaut le détour : il écrit le Logic App que tu n'as jamais eu le temps de faire. (Microsoft Sentinel Blog)

Passé cette date, les anciennes versions d'API du plan de contrôle sont retirées. Tes runbooks Automation et tes pipelines qui créent des Vaults avec un module figé s'arrêteront sans message clair. Cinq mois, c'est le temps de retrouver tous les endroits où tu as épinglé une version. (Azure Tools Blog)

Tes agents sortent vers leurs outils en IP publique tant que l'injection réseau n'est pas configurée. Un Private Endpoint sur Foundry protège l'accès à l'agent, pas ce que l'agent fait. (Azure Architecture Blog)

Les packages App-V avec un fichier de config par profil passent en App Attach sans réempaquetage. Si ton parc App-V est ce qui te retient encore sur RDS, c'est un obstacle de moins. (Microsoft Learn)

L'agent IA de Windows 365 entre dans le bureau lui-même. À lire avec l'annonce AVD Hybrid en tête : Microsoft pousse deux bureaux, l'un chez toi, l'autre chez elle, et aucun des deux ne s'appelle RDS. (Microsoft Mechanics)

Connectivité privée managée entre Azure et un autre Cloud, sans monter toi-même l'ExpressRoute et les VPN de chaque côté. Signal stratégique : Microsoft admet que ton réseau ne s'arrête pas à Azure, et le facture. (Azure Updates)

Le pare-feu détecte les plages internes derrière lui et cesse de les traduire. Fini les listes de préfixes privés à maintenir à la main à chaque nouveau VNet. (Azure Updates)

Une policy WAF par route au lieu d'une par domaine. Ton API et ton site vitrine derrière le même Front Door n'ont plus les mêmes règles, et c'était le cas jusqu'ici. (Azure Updates)

Pour l'Europe, rien ne change. À noter si tu opères des tenants souverains. (Azure Updates)

Les nœuds Azure Linux d'AKS peuvent tourner en VM confidentielle, mémoire chiffrée par le matériel. Pour les charges régulées qui refusaient AKS pour cette raison, l'argument tombe. (Azure Updates)

La VM ne redémarre plus entière quand un disque managé décroche : seul le disque concerné est réattaché. Pour un SQL avec ses journaux sur un disque et ses données sur un autre, c'est la différence entre un incident et un événement. (Azure Updates)

Le listing d'un conteneur à plusieurs millions d'objets passe de minutes à secondes. Si tes traitements Data commencent par « lister le lac », ils commencent 25 fois plus tôt. (Azure Storage Blog)

Les pods démarrent avant que l'image soit entièrement téléchargée, les couches arrivent à la demande. Sur des images de plusieurs gigaoctets, c'est le scale-out qui passe de minutes à secondes. (Azure Updates)

Émission et rotation des certificats des clusters Arc pilotées depuis Azure. Un certificat de cluster expiré, c'est un cluster qui ne parle plus à personne : c'est maintenant Azure qui tient le calendrier. (Azure Arc Blog)

L'agent peut interroger tes tables de journaux à bas coût, pas seulement le plan Analytics. Tu peux enfin mettre les journaux de pare-feu en Auxiliary sans les rendre invisibles à l'IA. (Azure Updates)

Tu peux changer le plan d'une table existante sans la recréer, et les tables Azure natives sont éligibles. C'est la fin de l'argument « on ne peut pas, la table est déjà en Analytics ». (Azure Updates)

L'agent lit ton architecture et signale ce qui n'a pas de zone de disponibilité, pas de sauvegarde, pas de redondance. Il ne répare rien : il écrit la liste que ton auditeur t'aurait facturée. (Azure Reliability Blog)

Une policy qui refuse tout déploiement hors du périmètre C5, le référentiel allemand du BSI. Le pattern vaut pour n'importe quelle liste de conformité : SecNumCloud, tu peux faire pareil. (Azure Governance Blog)

Un point de terminaison unique qui répartit les lectures sur les réplicas. Tes applications n'ont plus à connaître chaque réplica par son nom, et tu peux en ajouter sans redéployer. (Azure Updates)

Le dépôt, l'historique et les pipelines migrent à chaud, avec une coupure courte au moment de la bascule. Microsoft ne cache plus la direction : Azure DevOps est le passé, GitHub est la cible. (Azure DevOps Blog)

Le même relecteur IA que sur GitHub, sans quitter Azure Repos. Utile pour ceux qui ne migreront pas, ou pas tout de suite. (Azure Mission Critical Blog)

Corrections et compatibilités élargies pour les migrations Oracle, DB2 et Sybase vers SQL Server. À prendre avant de relancer un projet de migration mis en pause : les erreurs que tu avais rencontrées ont peut-être disparu. (Data Migration Blog)

Cloud-native, migration des réglages existants, ou coexistence pour les appareils hybrides, avec les outils d'analyse de GPO pour savoir ce qui a un équivalent. Si tu as des DC, tu as des GPO, et une partie ne se traduit pas. Le guide dit laquelle. (Intune Customer Success)

Niveaux d'effort réglables, commande /cost pour voir ce que coûte une requête, onglet Automations. Le /cost est le premier outil natif qui montre à l'utilisateur que l'IA a un prix. (Microsoft 365 Copilot Blog)

Le modèle rejoint le sélecteur de Word, Excel, PowerPoint et Chat, selon la région et la configuration du tenant. Si tes politiques de données interdisent les modèles hors Microsoft, c'est un réglage de tenant à vérifier cette semaine. (Microsoft 365 Copilot Blog)

Microsoft documente une campagne d'intrusion opérée à la main : l'attaquant se fait passer pour le support via la collaboration externe de Teams, obtient une session à distance, puis déploie son outillage. Si la collaboration externe est ouverte par défaut sur ton tenant, cette campagne est faite pour toi. (Microsoft Security Blog)

Microsoft décrit comment empiler DLP endpoint, extension navigateur et inspection réseau pour couvrir les trois endroits où une donnée sort. Le billet vaut pour sa matrice : quelle couche voit quoi, et ce qu'aucune ne voit. (Microsoft Purview Blog)

Tu choisis les tables et les lignes qui partent vers OneLake, au lieu de répliquer la base entière. Moins de volume, moins de coût, et les tables sensibles restent chez toi. (Azure Database for PostgreSQL Blog)

Les trois couches à comprendre avant d'ouvrir un ticket de quota, et comment le formuler pour qu'il passe du premier coup. Le genre de billet qu'on lit après le premier refus. Lis-le avant. (Analytics on Azure Blog)

Exécution multi-étapes directement sur des applications Desktop sans API dédiée, 1,05 million de tokens de contexte, facturation à la consommation. Un modèle qui clique dans tes applications à la place de l'utilisateur, c'est un compte de service avec une souris : à traiter comme tel dans Conditional Access. (Azure Blog)

Même modèle que dans Copilot, cette fois pour tes propres agents. À noter pour les équipes qui standardisent un modèle entre le bureau et le code. (Microsoft Foundry Blog)

Transcription en 60 langues d'un côté, image avec édition multi-référence de l'autre. Microsoft continue de construire son propre catalogue à côté d'OpenAI et d'Anthropic, et le tarif est l'argument. (Microsoft Foundry Blog)

Inventaire, évaluation, tests parallèles, bascule progressive, surveillance, retrait. Un modèle retiré sans ce cadre, c'est un agent qui répond différemment un lundi sans que personne n'ait changé une ligne. (Microsoft Foundry Blog)

AVD Classic n'existe pas dans ARM. Ses host pools n'apparaissent ni dans le portail, ni dans ton RBAC, ni dans cette commande. C'est précisément ce qui la rend utile : ce qu'elle ne retourne pas, c'est ce qui meurt le 30 septembre.

Ce que la commande retourne :

Lecture seule, aucun effet de bord. Ajoute --subscription pour balayer plusieurs Subscriptions Azure.