Mardi dernier, Microsoft a publié 974 failles en une seule journée. C'est le plus gros Patch Tuesday de son histoire, et le record précédent datait de juillet. Sur ces 974, il y en a 964 que tu dois installer toi-même, 104 classées critiques, 20 qui, selon le décompte de la Zero Day Initiative, se propagent d'une machine à l'autre sans que personne ne clique, et 2 déjà exploitées quand le correctif est sorti.

Je sais ce que tu te dis : c'est un chiffre, on patche, on passe. Sauf que cette fois, trois exécutions de code à distance visent des rôles qui tournent sur tes contrôleurs de domaine. Une exécution de code à distance dans le serveur DNS de Windows, notée 9.8, sans authentification et sans clic. Une autre dans Kerberos, par rejeu d'authentification. Une troisième dans le serveur DHCP. Autour, Exchange, les services de certificats, RRAS et ton VPN, Word et Excel avec du code qui s'exécute à l'ouverture d'un document. Et les deux failles exploitées donnent SYSTEM à quelqu'un qui a déjà un pied dans la machine, ce qui est exactement ce que le phishing de la semaine dernière lui a donné.

La même semaine, Microsoft a publié la FAQ du retrait de NTLM. Le protocole qui authentifie encore tes vieux serveurs va s'éteindre, et Kerberos devient le chemin par défaut. Ces deux nouvelles ne se ressemblent pas, mais elles disent la même chose : la surface d'attaque de ton On-Prem se réduit, à ta charge.

Le prochain Patch Tuesday tombe le 13 octobre, dans 29 jours. Ce jour-là, Windows Server 2022 quitte le mainstream, Windows Server 2012 reçoit sa toute dernière mise à jour, et AD FS applique le durcissement DKM. Tu as quatre semaines pour finir celui-ci avant que le suivant n'arrive avec ses propres échéances.

Trois échéances cette semaine. Si tu ne fais qu'une chose après cette édition, fais la première.

Deux failles Windows exploitées, une 9.8 dans ton serveur DNS, et 20 autres qui se propagent seules Quoi. Le lot du 8 septembre contient 964 failles à corriger chez toi. Deux sont exploitées : CVE-2026-81963 dans la pile Windows Update et CVE-2026-85880 dans ALPC, toutes deux notées 7.8, toutes deux donnent SYSTEM à qui exécute déjà du code sur la machine. Trois autres visent les rôles de tes contrôleurs de domaine : CVE-2026-69730, une exécution de code à distance dans le serveur DNS, notée 9.8, sans authentification ni interaction ; CVE-2026-69676 dans Kerberos, notée 8.8, par rejeu d'un échange d'authentification ; et une exécution de code dans le serveur DHCP, sans authentification non plus. La Zero Day Initiative en compte 20 exploitables de machine en machine sans interaction, et Microsoft en signale 58 comme plus susceptibles d'être exploitées. Risque. Un serveur DNS Windows tourne sur presque tous les DC, et une faille DNS sans authentification se déclenche depuis n'importe quel poste du réseau. Kerberos, c'est la couche à laquelle chaque service du domaine fait confiance. Les deux zero-days, eux, transforment un phishing réussi en compromission complète. Microsoft n'a publié aucun détail sur la manière dont ils ont été exploités. Action, dans cet ordre. Commence par les contrôleurs de domaine et les serveurs DNS et DHCP, cette semaine, pas dans ton cycle habituel. Passe ensuite à ce qui est exposé à Internet : Exchange, RRAS, les passerelles VPN. Puis les postes d'administration et les serveurs de rebond. Termine par le parc utilisateur, Word et Excel en tête avec 70 correctifs à eux deux. Si tes postes Windows 11 sont en hotpatch, prévois un redémarrage ce mois-ci : Microsoft l'a annoncé dans MC1462918, septembre ne se fait pas en mémoire. Deadline. Les correctifs sont disponibles depuis le 8 septembre. Le prochain lot arrive le 13 octobre. Lire la suite

SQL Data Sync : plus aucun nouveau Sync Group depuis le 9 septembre. Microsoft a bloqué la création de nouveaux groupes de synchronisation SQL Data Sync le 9 septembre 2026, et le service disparaît le 30 septembre 2027. Les groupes existants continuent de fonctionner jusque-là. Risque. Le blocage des nouveaux déploiements change ta situation avant la date de retrait. Si tu comptais recréer un groupe pour un nouveau projet ou après un incident, c'est terminé. Ce qui tourne aujourd'hui est ce que tu auras jusqu'à la fin. Action, dans cet ordre. Inventorie les groupes de synchronisation encore actifs et les applications qui en dépendent. Pour l'Azure SQL vers Azure SQL, Microsoft pointe Azure Data Factory avec une copie initiale puis une synchronisation incrémentale. Pour l'hybride, la réplication transactionnelle ou les groupes de disponibilité. Planifie la bascule cette année, pas en 2027, parce qu'un groupe qui casse ne pourra pas être recréé. Deadline. Nouveaux déploiements bloqués depuis le 9 septembre 2026. Retrait le 30 septembre 2027. Lire la suite

Entra Connect Sync : le 30 septembre, toute version sous 2.5.79.0 arrête de synchroniser Quoi. Microsoft bascule le service qui reçoit ta synchronisation vers une application dédiée, et seules les versions 2.5.79.0 et supérieures d'Entra Connect savent lui parler. Le 30 septembre, un serveur en dessous de cette version cesse de synchroniser : utilisateurs, mots de passe, groupes, tout. La page Learn le dit sous le titre « Mandatory Upgrade Required », et recommande de ne pas s'arrêter au minimum mais d'installer la dernière version, 2.6.84.0. Risque. Cloud Sync reste la cible recommandée, mais ce n'est pas lui qui presse : la version l'est. Un serveur Entra Connect installé en 2024 et jamais mis à jour, ou dont l'auto-upgrade a échoué en silence, arrête tout le 30 au matin, et tu le découvres quand un nouvel arrivant n'a pas de compte. Action, dans cet ordre. Ouvre le serveur Entra Connect et lis la version dans le Synchronization Service Manager. Vérifie l'état de l'auto-upgrade avec Get-ADSyncAutoUpgrade. Si tu es sous 2.5.79.0, télécharge 2.6.84.0 depuis le centre d'administration Entra, le MSI n'est plus ailleurs, et vérifie .NET 4.7.2 et TLS 1.2 avant. Traite ce serveur comme un changement Tier 0, avec un contrôle de la synchronisation des mots de passe après. Deadline. Le 30 septembre 2026, soit J-16. Version minimale 2.5.79.0, cible 2.6.84.0. Lire la suite

Prochaines échéances

NTLM prend la porte, et Microsoft répond enfin aux questions que tu te poses depuis deux ans

Microsoft a publié la FAQ du retrait de NTLM, et c'est le document qu'on attendait depuis l'annonce. La direction est confirmée : Windows passe à un modèle Kerberos-first, pour sortir d'une cryptographie faible et de vecteurs d'attaque connus, et une réactivation temporaire reste possible pour les applications legacy qui ne savent pas faire autrement. La FAQ répond aux questions de calendrier, de compatibilité et de méthode que tout admin AD se pose depuis deux ans. Elle ne contient pas la liste de ce qui va casser chez toi en premier, et cette liste commence rarement par l'application legacy que tu surveilles. Lire la suite

⭐ Guide bonus : HowTo : auditer et remédier RC4 et NTLM sur tes contrôleurs de domaine

Le phishing s'adapte à ta défense : la semaine où tu pousses les Passkeys, l'attaquant te demande d'enregistrer la tienne

Le 9 septembre, Microsoft a documenté une campagne qui utilise le thème des Passkeys comme appât. L'appât reprend le thème des Passkeys que tes utilisateurs commencent à voir passer, la page capture les identifiants, et l'attaquant enchaîne sur la reconnaissance, le vol d'identifiants supplémentaires et l'exfiltration de données Cloud. La leçon est simple : un déploiement de sécurité annoncé est un scénario de phishing prêt à l'emploi, et plus ta communication interne est visible, plus le faux est crédible. Le lendemain, Microsoft a décrit une autre campagne, un million de mails générés par IA imitant des dirigeants et des fils ServiceNow pour obtenir des virements de 50 000 dollars. Les deux ont un point commun : elles ne cassent aucune technologie, elles imitent ta propre communication. Ta campagne Passkeys doit dire à tes utilisateurs à quoi ressemble la vraie invitation, et surtout à quoi elle ne ressemble pas. Lire la suite

Deux zones ou trois : Russinovich te donne enfin la règle pour arrêter de payer la troisième par réflexe

Mark Russinovich (CTO Azure chez MS) publie un cadre de décision pour la redondance par zones, et il va à l'encontre de l'habitude. Deux zones suffisent pour la plupart des composants : la troisième ne se justifie que pour ceux qui ont besoin d'un domaine de panne supplémentaire, et le billet dit lesquels. Le reste peut vivre en deux zones avec un coût et une latence inférieurs. Le cadre s'applique composant par composant, pas à l'architecture entière, et la même semaine, les Virtual Machine Scale Sets gagnent le placement automatique de zone en Preview, Azure choisissant la zone selon la capacité disponible. Si ton architecture de référence impose trois zones partout, tu paies une assurance que la moitié de tes composants n'utilisent pas. Lire la suite

Vendredi dernier, j’ai lancé Doctor Kloud Labs : une plateforme de formation Azure avec +100 Labs pratiques, dans de vrais environnements Azure prêts en moins d’une minute, sans compte Azure et sans facture la fin du mois.

Déjà 117 personnes nous ont rejoints depuis le lancement. Merci pour la confiance.

⏳ Offre de lancement : -20 % jusqu’au 20 septembre à minuit avec le code LAB20

Si tu hésites encore, tu peux tester gratuitement 5 Labs Azure avant de décider.

Chaque mois, 50 nouveaux Labs seront ajoutés autour d’Azure, de l’identité, de la sécurité, de l’infrastructure et du DevOps.

30 minutes suffisent pour te faire une idée.

Quatrième volet de la série PKI : les étapes concrètes pour durcir une autorité de certification contre les techniques d'exploitation documentées par SpecterOps. Après Certighost cet été et les correctifs AD CS du 8 septembre, c'est le guide à suivre avant qu'un auditeur ne le fasse pour toi. (Core Infrastructure and Security Blog)

Septembre devait être un mois sans reboot dans le cycle trimestriel du hotpatch de Windows 11 Enterprise. Le lot du 8 touche des composants qui ne se remplacent pas en mémoire, donc les postes enrôlés reçoivent une mise à jour classique, et ils restent enrôlés après. Tes fenêtres de maintenance de septembre reprennent leur redémarrage, et octobre en aura un aussi, c'est le mois de baseline. Pour Windows Server 2025 en hotpatch, vérifie ton propre calendrier, l'avis vise Windows 11.

Elle ne fait pas la une comme celle de fin août, mais elle est dans le même produit, cinq semaines avant la dernière mise à jour ESU de 2016 et 2019. Si ton serveur Exchange n'a pas reçu la SU de septembre, il cumule maintenant deux failles connues.

Failles de sécurité critiques et corrections de performance, avec un patch par version supportée. Un serveur Azure DevOps est un dépôt de code avec des secrets dedans, il se patche comme un contrôleur de domaine. (Azure DevOps Blog)

Le pilote ODBC gagne les vecteurs float16 et un routage optimisé pour les lectures Hyperscale, le pilote JDBC réduit sa consommation mémoire sans changement applicatif. Deux mises à jour de pilotes à passer dans ta prochaine fenêtre, pas en urgence. (SQL Server Blog)

Trois états de campagne, Microsoft managed, Enabled et Disabled, des conditions d'éligibilité par méthode, et une extension aux profils restreints. Le déploiement s'étale jusqu'à fin septembre, donc deux tenants voisins peuvent se comporter différemment cette semaine.

Désactiver un compte, révoquer ses sessions, forcer son mot de passe, sur les utilisateurs non privilégiés. Liste qui tient ce rôle chez toi, permanents et éligibles PIM : fin septembre, chacun d'eux pourra couper un utilisateur du tenant. (Microsoft Entra Blog)

Notée 4.4 seulement, mais sur le composant qui devient ton facteur MFA autonome à partir d'octobre. Elle mérite d'être dans ton premier anneau de déploiement plutôt que dans le dernier.

Phishing, malvertising et vol d'identifiants qui se déguisent en ChatGPT ou en Copilot entrent dans les détections et dans la disruption automatique. L'appât a changé, le mécanisme non. (Microsoft Security Blog)

Microsoft décrit une campagne qui imite des dirigeants et des fils de tickets ServiceNow pour pousser un service comptable à valider un virement ACH. Si ta procédure de paiement repose sur un mail du directeur, elle repose sur rien. (Microsoft Security Blog)

Un Cloud PC livré avec les outils de développement préinstallés, pensé comme accélérateur d'onboarding, avec des limites sur les logiciels tiers. Pour un prestataire qui arrive lundi et repart dans trois mois, c'est le poste qui n'a jamais touché ton réseau.

Rien d'autre côté Microsoft sur AVD cette semaine. Ce qui compte pour toi est dans le tableau des échéances : AVD Classic s'éteint dans 16 jours, avec les séries NV le même jour.

Le disque système éphémère met désormais toute l'image en cache local, ce qui supprime les lectures distantes au démarrage. Pour les scale sets qui montent et descendent plusieurs fois par jour, c'est le provisioning qui passe de minutes à secondes. (Azure Updates)

Azure choisit la zone de disponibilité selon la capacité et le SKU demandé, au lieu de te laisser deviner. À lire avec le billet de Russinovich plus haut : la question n'est plus « quelle zone » mais « combien ». (Azure Compute Blog)

Jusqu'à six certificats par Function App, gérés au niveau du site. Le plan Flex perd une des raisons qui te faisaient rester sur Premium. (Azure Updates)

Azure Container Linux le remplace, en Preview pour l'instant. Si tu as des node pools OS Guard, tu as trois mois pour tester un remplaçant qui n'est pas encore GA. (Azure Updates)

Un jeton SAS ne vaut plus que pour l'identité Entra qui l'a demandé. Un SAS qui fuit dans un dépôt Git ne donne plus rien à celui qui le ramasse. (Azure Updates)

Azure Storage Mover copie tes partages On-Prem sans rien installer sur le serveur de fichiers. Pour un serveur de fichiers 2012 que tu dois sortir avant le 13 octobre, c'est le chemin le plus court. (Azure Updates)

OneFS géré par Dell, provisionné et facturé depuis Azure. Pour les parcs Isilon qui refusaient Azure Files par habitude, l'argument tombe. (Azure Storage Blog)

Les VM et les clusters Kubernetes d'Azure Local apparaissent dans une vue organisée par site physique. Pour un parc de dix agences avec un cluster chacune, c'est la première console qui raisonne comme toi. (Azure Arc Blog)

Déploiement et mise à l'échelle d'applications sur plusieurs environnements Arc depuis le portail, avec des configurations par site. Ce qui se faisait en CLI et en YAML a maintenant une interface. (Azure Arc Blog)

L'agent diagnostique une VM ou un cluster AKS depuis le portail et propose une remédiation. Il ne remplace pas ton ticket de support, il écrit la moitié du ticket à ta place. (Azure Updates)

Les données réseau découvertes deviennent des recommandations concrètes : sous-réseaux, dépendances, ordre de bascule. C'est la partie de la migration que tout le monde découvre le jour J, désormais disponible avant. (Azure Networking Blog)

Le guide pas à pas depuis des sauvegardes déposées dans Blob Storage, avec une coupure minimale. Utile si ta migration SQL était en attente d'un mode d'emploi. (Data Migration Blog)

Tu peux ajouter tes propres commandes à azd pour ton organisation. Le déploiement standard de ta boîte peut devenir une commande de trois mots. (Azure Updates)

Australia East, Japan East et Switzerland North rejoignent le service de navigateurs managés pour tests de bout en bout. Pour l'Europe, Switzerland North est la région à noter. (Azure Updates)

Le blocage démarre le 1er octobre et se termine le 1er avril 2027, application par application. Si un outil de sauvegarde, un connecteur CRM ou un script maison parle encore EWS, il a trois semaines avant de commencer à tomber, et six mois avant de tomber pour de bon.

Un tenant sans domaine vérifié ne pourra plus envoyer librement vers l'extérieur. C'est une mesure anti-phishing : les tenants jetables qui usurpent le support IT, comme dans la campagne Teams de lundi dernier, sont presque tous en onmicrosoft.com.

La supervision des appareils Teams passe dans le portail Teams Rooms Pro Management. Si tes alertes de salle de réunion vivent dans l'ancien centre, elles s'arrêtent sans prévenir.

Les administrateurs peuvent exclure des domaines web de l'ancrage de Copilot, pour qu'une réponse ne cite jamais une source que ta politique interdit. Mille domaines, c'est assez pour une liste de concurrents et de sites non fiables. (Microsoft Copilot Blog)

Copilot change d'URL et le trafic sera redirigé. Un proxy qui filtre par liste blanche coupera Copilot le jour de la bascule, et le ticket arrivera chez toi.

Une sauvegarde de la charge entière au lieu de sites et de boîtes choisis un par un. Pour un scénario ransomware, c'est la différence entre restaurer un tenant et restaurer une liste.

Les mails qui contiennent des instructions destinées à un assistant IA, et non à l'humain qui les lit, sont désormais reconnus. À lire avec l'ASCII Smuggling de lundi dernier : les deux techniques ciblent la même faille, ton filtre ne lit pas comme ton utilisateur.

La protection contre les fuites s'ajoute à la couche réseau, en complément du poste et du navigateur. Et Priority Cleanup autorise enfin une suppression définitive qui contourne rétention et conservation légale, sous contrôle, pour les cas de déversement de données.

Le calcul serverless sort vers ton VNet, ton On-Prem et Internet par une seule passerelle managée, et tu peux faire passer ce trafic par tes propres équipements d'inspection. Jusqu'ici, le serverless Databricks était l'angle mort de ton pare-feu. (Microsoft Learn)

Une politique DENY prime sur tout GRANT, y compris pour le propriétaire de l'objet, ce qui manquait pour bloquer un administrateur trop large. Les secrets deviennent des objets catalog.schema.secret avec les mêmes contrôles que les tables. (Microsoft Learn)

L'API en Beta disparaît, la cible est les agents personnalisés sur Databricks Apps. Si un pipeline d'agents s'appuie dessus, il a 16 jours. (Microsoft Learn)

Microsoft a exposé un agent anodin et compté : seize techniques efficaces sont ressorties. Ton garde-fou sera testé de la même manière, par des gens qui ont plus de temps que toi. (Microsoft Foundry Blog)

Seule une preuve validée et traçable atteint l'agent, ce qui réduit les risques dans les flux réglementés. Pour la banque et l'assurance, c'est le pattern à présenter à ton RSSI avant de parler de modèle. (Microsoft Foundry Blog)

Foundry sépare l'évaluation du résultat de celle du processus de décision. Un agent qui trouve la bonne réponse par le mauvais chemin est un incident qui attend son jour. (Microsoft Foundry Blog)

Avec 964 failles à déployer, la question n'est pas « quoi patcher » mais « qui le fait ». Sur Azure, une VM en mode AutomaticByPlatform reçoit le lot toute seule dans sa fenêtre. Une VM en mode manuel attend que tu passes. Cette commande te dit lesquelles

Ce que la commande retourne :

Lecture seule, aucun effet de bord. Ajoute --subscription pour balayer plusieurs Subscriptions Azure. Les VM Linux affichent une colonne vide, leur mode est sous linuxConfiguration.